SCRUM-588 fix: 위키 동기화 CLI 가 프로젝트 설정을 읽지 않게 함

[sh1220]

Jira

SCRUM-588

변경 요약

#131 에서 액션 대신 Claude Code CLI 를 레포 루트에서 직접 실행하면서, CLI 가 레포의 .claude/settings.json, .claude/settings.local.json, .mcp.json 을 읽는 경로가 생겼습니다. 지금 develop 에는 셋 다 없지만, 이후 PR 로 들어오면 permissions.allow 가 CI 에이전트 권한을 조용히 넓히거나 hooks 가 OAuth 토큰이 있는 환경에서 실행될 수 있습니다(reviewer 지적).

--setting-sources user(프로젝트, 로컬 설정 무시)와 --strict-mcp-config(MCP 설정 무시)를 추가합니다. CI 러너에는 user 설정이 없어 지금 동작은 그대로입니다.

확인: 2.1.284 claude --help 에 두 옵션이 있고, .claude/settings.json 에 Bash(touch:*) allow 를 넣은 폴더에서 두 옵션을 켜고 실행하면 touch 가 거부되고 파일이 생기지 않았습니다.

변경 유형

• feat (기능 추가)
• fix (버그 수정)
• docs (문서)
• chore (설정/기타)
• hotfix (긴급 수정)
• release (릴리스)

체크리스트

• 로컬에서 ./gradlew build 통과 (코드 변경 없음, 워크플로만 수정해 CI 로 확인)
• 테스트 추가/수정 (해당 없음, actionlint 통과, 로컬 CLI 로 설정 무시 동작 확인)
• 민감정보(키, 시크릿, application 비밀값)를 커밋하지 않음

Summary by CodeRabbit

• 개선 사항
  • 위키 동기화 작업에서 저장소 설정을 적용하지 않도록 변경했습니다. 기존 프롬프트, 모델, 최대 턴 수 및 허용 도구 설정은 유지됩니다.

[github-actions]

Backend CI 리포트 — 08348ad · @sh1220

포맷 (ktlint) ✅

위반 없음

---

테스트 & 커버리지 ✅

라인 커버리지(instruction): 94.6%

---

변경분 커버리지 (diff) ✅

변경된 계측 라인 없음 — 게이트 N/A

---

도커 빌드 & Trivy(패키지 CVE) ✅

이미지 빌드: 성공 · 취약점 CRITICAL 0 · HIGH 10 (CRITICAL만 차단)

취약점 보기 (베이스 이미지 패키지)

심각도	ID	패키지	버전
HIGH	CVE-2026-89407	com.fasterxml.jackson.core:jackson-core	2.21.4 → 2.18.11, 2.21.7, 2.22.3
HIGH	CVE-2026-89425	com.fasterxml.jackson.core:jackson-core	2.21.4 → 2.21.7, 2.22.3, 2.18.11
HIGH	CVE-2026-68497	com.fasterxml.jackson.core:jackson-databind	2.21.4 → 2.18.10, 2.21.6, 2.22.2
HIGH	CVE-2026-91776	com.fasterxml.jackson.core:jackson-databind	2.21.4 → 2.18.11, 2.21.7, 2.22.3
HIGH	CVE-2026-91777	com.fasterxml.jackson.core:jackson-databind	2.21.4 → 2.21.7, 2.18.11, 2.22.3
HIGH	CVE-2026-89407	tools.jackson.core:jackson-core	3.1.4 → 3.1.7, 3.2.2
HIGH	CVE-2026-89425	tools.jackson.core:jackson-core	3.1.4 → 3.1.7, 3.2.3
HIGH	CVE-2026-68497	tools.jackson.core:jackson-databind	3.1.4 → 3.2.2, 3.1.6
HIGH	CVE-2026-91776	tools.jackson.core:jackson-databind	3.1.4 → 3.1.7, 3.2.3
HIGH	CVE-2026-91777	tools.jackson.core:jackson-databind	3.1.4 → 3.1.7, 3.2.3

---

코드 보안 (Trivy fs + Semgrep) ✅

발견 1건

종류	심각도	내용	위치
🐞 SAST	ERROR	The Python documentation recommends using defusedxml instead of `xml	.github/scripts/diff_coverage.py:20

---

아키텍처 경계 (ArchUnit) ✅

헥사고날·도메인 분리 경계 규칙 통과 (도메인/레이어/common 격리)

[coderabbitai]

No actionable comments were generated in the recent review. 🎉

ℹ️ Recent review info

⚙️ Run configuration

• Configuration used: Repository: swmaestro-732/BackEnd/.coderabbit.yaml
• Review profile: CHILL
• Plan: Essentials
• Run ID: 1c85cd19-efd2-4c6d-a01f-a1abeaa42d25

📥 Commits

Reviewing files that changed from the base of the PR and between bc1c257 and 0dfd61c.

📒 Files selected for processing (1)

• .github/workflows/wiki-sync.yml

Included review availability: This review used your included allowance. 3 included reviews remain after this review. Your included PR review attempts over the past 7 days set your current allowance at 5 reviews per hour.

📝 Walkthrough

위키 동기화 워크플로의 Claude Code CLI 호출에 --setting-sources user와 --strict-mcp-config 옵션을 추가했습니다. 기존 프롬프트, 모델, 최대 턴 수 및 허용 도구 설정은 유지됩니다.

Priority: ➖ Normal

Estimated code review effort: 2 (Simple) | ~5 minutes

Change: Bug fix

Merge Risk: ⚪ Minimal · up to 0dfd6

The workflow requests user-only settings and strict MCP configuration to limit repository-controlled configuration. The exact CLI behavior could not be verified, but no concrete merge-blocking failure is established.

Pre-merge checks · 5

Passed checks (5 passed)

Check name	Status	Explanation
Title check		제목은 SCRUM-588 이슈와 위키 동기화 CLI가 프로젝트 설정을 읽지 않도록 수정한 핵심 변경을 명확하게 설명합니다.
Description check		Jira, 변경 요약, 변경 유형, 체크리스트를 모두 포함합니다. 변경 원인, 적용한 옵션, 검증 결과, 빌드를 실행하지 않은 이유도 설명합니다.
Docstring Coverage		No functions found in the changed files to evaluate docstring coverage. Skipping docstring coverage check. Docstring coverage is scoped to functions touched by this diff. Analyzed 0 functions across 0…
Linked Issues check		Check skipped because no linked issues were found for this pull request.
Out of Scope Changes check		Check skipped because no linked issues were found for this pull request.

✨ Finishing Touches

🧪 Generate unit tests (beta)

• Commit to this branch
• Create a new PR

• Autofix · Keep fixing CodeRabbit findings and required CI, and resolving merge conflicts

_{Comment @coderabbitai help to get the list of available commands.}