Repository navigation
epic(gate): juntar bumps de github/codeql-action 4.38.2 (#2027/#2028/#2029) numa PR com um único selo #2070
Description
Objetivo
Reunir numa única PR, com um único selo Gate-Change-Approved-By, os três bumps de github/codeql-action que o Dependabot abriu separados (#2027, #2028, #2029). Cada um altera um arquivo de .github/workflows/ (gate, ADR-0071), então abrir os três exigiria três atestações do operador e três ciclos de CI. Em PR única: 1 atestação, 1 ciclo. Verificado em 2026-10-12.
Itens
| PR Dependabot | Mudança | Arquivo (gate) |
|---|---|---|
| #2027 | codeql-action/analyze 4.38.0 → 4.38.2 |
.github/workflows/codeql.yml |
| #2029 | codeql-action/init 4.38.1 → 4.38.2 |
.github/workflows/codeql.yml |
| #2028 | codeql-action/upload-sarif 4.38.0 → 4.38.2 |
.github/workflows/scorecard.yml |
Como executar
- Reaplicar exatamente os pins de SHA das três PRs (política: actions pinadas por SHA com comentário de versão). Copiar do diff do Dependabot, não digitar; conferir que o SHA corresponde à tag
v4.38.2do repositório oficial. - Cursor local, commits assinados, sem
Co-authored-by; um commit por arquivo ou por action. - Depois de aberta a PR, o operador sela com o wrapper (
meta_wrapper_aiidcobpp_atestation_v1.6.sh kombi) uma única vez. - Os PRs do Dependabot se fecham sozinhos quando a
mainjá tem a versão.
Fora do escopo
#2031 (filelock 4): arrasta snowflake-connector-python 5.0.0rc5 e downgrade de protobuf (ver #2021); fica como está. #2062 e #2045 têm tratamento próprio (#2069 e epic #2065).
Regras
Nenhum push/PR sem go explícito do operador; este epic depende da atestação dele, portanto não deve ser misturado com epics sem gate.
Activity