fix(ci): begränsa gitleaks i security-workflowen (bara införda commits på PR/push, fullhistorik nattligt) #561

2026-11-11T11:41:28Z

admin commented

2026-11-11 11:41:28 +00:00

Den här PR:en begränsar gitleaks i repots security.yml. Det är samma riktade ändring som i den kanoniska mallen, admin/siax-templates#205.

Varför: fullhistorikskanningen (git log -p --full-history --all) körde på varje PR och push utan tidsgräns. I justit0 gick en sådan körning i över tre timmar på ~400 % CPU och 14–18 GiB på server10, som även kör produktion. 128 av 144 repon hade samma steg. OSV-rättelsen ingår inte här; den ägs av admin/siax-standard#608 och rullas ut separat.

Överlappande PR:er: #560 #554 ändrar också security.yml. De bär den gamla obegränsade fullhistorikskanningen och behöver uppdateras mot den nya mallen (admin/siax-templates#205) eller stängas. Den PR som mergas sist får en konflikt i den filen.

Ändringar:

PR/push: nytt blockerande steg gitleaks commit range som bara skannar införda commits (--log-opts base..head, högst 500 commits med varning). Git-läget räknar bara tillagda rader, och repots .gitleaks.toml/.gitleaksignore gäller.
Fullhistorik: körs bara på schedule/workflow_dispatch, med 40 minuters budget.
Gränser: timeout-minutes på scan-jobbet, CPU/minne-tak och --redact på gitleaks-containrarna, och kvarlämnade containrar dödas.

Oförändrat: workflow-namn, job-id, runs-on, permissions och alla övriga steg. Krävda kontexter påverkas därför inte.

Kontrollerat: YAML, bash -n för varje steg, invarianter för jobb, runs-on och stegordning, samt docker-tester av intervallsteget i #205. Lokala git-hooks kördes inte; CI kör grindarna på denna PR.

🤖 Generated with Claude Code

Den här PR:en begränsar gitleaks i repots `security.yml`. Det är samma riktade ändring som i den kanoniska mallen, [admin/siax-templates#205](https://git.siax.io/admin/siax-templates/pulls/205). **Varför:** fullhistorikskanningen (`git log -p --full-history --all`) körde på varje PR och push utan tidsgräns. I justit0 gick en sådan körning i över tre timmar på ~400 % CPU och 14–18 GiB på server10, som även kör produktion. 128 av 144 repon hade samma steg. OSV-rättelsen ingår inte här; den ägs av [admin/siax-standard#608](https://git.siax.io/admin/siax-standard/pulls/608) och rullas ut separat. **Överlappande PR:er:** #560 #554 ändrar också `security.yml`. De bär den gamla obegränsade fullhistorikskanningen och behöver uppdateras mot den nya mallen ([admin/siax-templates#205](https://git.siax.io/admin/siax-templates/pulls/205)) eller stängas. Den PR som mergas sist får en konflikt i den filen. **Ändringar:** - **PR/push:** nytt blockerande steg `gitleaks commit range` som bara skannar införda commits (`--log-opts` base..head, högst 500 commits med varning). Git-läget räknar bara tillagda rader, och repots `.gitleaks.toml`/`.gitleaksignore` gäller. - **Fullhistorik:** körs bara på `schedule`/`workflow_dispatch`, med 40 minuters budget. - **Gränser:** `timeout-minutes` på `scan`-jobbet, CPU/minne-tak och `--redact` på gitleaks-containrarna, och kvarlämnade containrar dödas. **Oförändrat:** workflow-namn, job-id, `runs-on`, permissions och alla övriga steg. Krävda kontexter påverkas därför inte. **Kontrollerat:** YAML, `bash -n` för varje steg, invarianter för jobb, `runs-on` och stegordning, samt docker-tester av intervallsteget i #205. Lokala git-hooks kördes inte; CI kör grindarna på denna PR. 🤖 Generated with [Claude Code](https://claude.com/claude-code)

admin added 1 commit 2026-11-11 11:41:28 +00:00

fix(ci): begränsa gitleaks i security-workflowen

CI (SIAX Cloud) / sonar (pull_request) Skipped

Details

masterplan-lock / check (pull_request) Successful in 5s

Details

CI (SIAX Cloud) / Component conformance (blocking) (pull_request) Successful in 7s

Details

security / scan (pull_request) Failing after 22s

Details

CI (SIAX Cloud) / security (pull_request) Successful in 30s

Details

CI (SIAX Cloud) / quality (pull_request) Successful in 1m29s

Details

CI (SIAX Cloud) / integration (pull_request) Successful in 1m30s

Details

1e89328fee

Samma riktade ändring som den kanoniska mallen (admin/siax-templates#205):
fullhistorikskanningen (`git log -p --full-history --all`) körde på varje PR
och push utan tidsgräns och kunde äta en delad runner-värd i timmar.

- PR/push: blockerande "gitleaks commit range" över bara de införda
  commitarna (git-läge, --log-opts base..head, max 500 med varning).
- Fullhistorik bara på schedule/workflow_dispatch med 40 min budget.
- timeout-minutes på scan-jobbet, CPU/minne-tak och --redact på
  gitleaks-containrarna, kvarlämnade containrar dödas.

Workflow-namn, job-id, runs-on och övriga steg är oförändrade, så krävda
kontexter påverkas inte. Ändringen är maskinellt kontrollerad (YAML,
bash -n per steg, invarianter för jobb, runs-on och stegordning).

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

CODEOWNERS rules requested review from sax3l 2026-11-11 11:41:28 +00:00

admin marked the pull request as work in progress 2026-11-11 11:50:37 +00:00

admin marked the pull request as ready for review 2026-11-11 16:18:58 +00:00

siax-bot approved these changes

2026-11-11 16:21:31 +00:00

siax-bot left a comment

Automatisk granskning: CI-grindar gröna.

admin merged commit 4b46e9d3ba into main

2026-11-11 16:21:32 +00:00

Sign in to join this conversation.

2 Participants

Notifications

Due Date

No due date set.

Dependencies

No dependencies set.

Reference: admin/0pt#561