ci: consolidate repository workflow backstops

[seonghobae]

변경 내용

• PR 보안 검사는 중앙 required workflows가 담당하고, 저장소의 Bandit·의존성 감사·보조 secret scan·Trivy는 하나의 trusted-branch backstop으로 통합했습니다.
• GitHub 기본 CodeQL 설정과 겹치던 repo-local CodeQL workflow를 제거했습니다.
• CI·SBOM·플랫폼 빌드는 ${workflow}-${repository}-${PR} 그룹으로 같은 PR의 구형 HEAD만 취소합니다.
• push·schedule·release 실행은 취소하지 않습니다.
• PR마다 CI와 중복 실행되던 release preflight를 제거하되 tag/push/manual release 의미는 보존했습니다.

부하 변화

• 저장소 workflow 파일: 10 → 6
• 보안 workflow: 6 → 2
• 보안 job: 8 → 3
• PR repo-local job: 16 → 12

검증

• python3 scripts/checks/verify_supply_chain.py
• uv run --project services/analysis-engine pytest services/analysis-engine/tests/test_supply_chain_policy.py services/analysis-engine/tests/test_npm_toolchain_contract.py -q — 161 passed
• actionlint .github/workflows/*.yml
• git diff --check

보호 규칙 전환

병합 직후 더 이상 발행되지 않는 security-audit와 release-preflight classic required contexts를 develop과 main에서 제거합니다. 중앙 trivy-fs와 GitHub 기본 CodeQL contexts는 유지합니다.

Security Notes

권한과 SHA pin은 유지했습니다. PR 보안 gate를 약화하지 않고 중앙 OSV·dependency review·Trivy·CodeQL·Semgrep 경로로 단일화합니다. trusted-branch backstop은 읽기 권한을 기본으로 하고 SARIF 업로드에만 security-events: write를 사용합니다.

[coderabbitai]

Warning

Review limit reached

Next included review available in 43 minutes.

Check out review usage here.

View limit details

Limit details: You’ve used the included review currently available.

You've used all free OSS reviews for now. Wait for the free limit to reset to keep reviewing this public repository.

Learn how review limits work.

Review configuration:

⚙️ Run configuration

Configuration used: Organization UI

Review profile: CHILL

Plan: Team

Run ID: 6b537ad2-fe4e-4fd8-a859-1f2aa0fc8c26

📥 Commits

Reviewing files that changed from the base of the PR and between 889d782 and bf85717.

📒 Files selected for processing (18)

• .github/workflows/bandit.yml
• .github/workflows/build-baseline.yml
• .github/workflows/ci.yml
• .github/workflows/codeql.yml
• .github/workflows/ossf-scorecard.yml
• .github/workflows/release.yml
• .github/workflows/sbom.yml
• .github/workflows/secret-scan-gate.yml
• .github/workflows/security-audit.yml
• .github/workflows/trivy.yml
• CHANGELOG.md
• docs/architecture/overview.md
• docs/repository/bootstrap-plan.md
• docs/security/code-security.md
• docs/security/github-required-checks.md
• docs/workflow/github-bootstrap-execution-policy.md
• scripts/checks/verify_supply_chain.py
• services/analysis-engine/tests/test_supply_chain_policy.py

---

Thanks for using CodeRabbit! It's free for OSS, and your support helps us grow. If you like it, consider giving us a shout-out.

❤️ Share

• X
• Mastodon
• Reddit
• LinkedIn

_{Comment @coderabbitai help to get the list of available commands.}

[seonghobae]

독립 재검증(2026-09-04): 중앙 protected main은 80719692f6bf35b41435e4ef8d5a54eb1934390e, 이 PR exact head/base는 41bf920 / 889d782e88b4df28dcbb4ae3cfd6d99ef85d9844이며 2 ahead, 0 behind입니다. 중앙 Security Scan은 exact PR head에서 scorecard를 실행하고 category=scorecard SARIF를 refs/pull/N/head로 올리며, osv-scan·trivy-fs도 같은 required workflow 안에서 제공합니다. BandScope develop 보호 규칙의 scorecard, osv-scan, trivy-fs context와 일치합니다. 반면 security-audit은 별도 required context이고 중앙 Gitleaks는 BandScope 소스 전체를 보장하지 않으므로 두 로컬 PR workflow는 유지된 상태가 맞습니다. 현재 head에서 공급망 계약 155개, verify_supply_chain, Ruff, 수정 6개 workflow actionlint, diff-check가 모두 통과했고 unresolved review thread는 0개입니다. hosted exact-head gate는 아직 queued이므로 Draft/미병합 상태를 유지합니다.