From b26f980aa40a72c68fea47fe1f7a1665fe5f409a Mon Sep 17 00:00:00 2001 From: pyramidheadshark Date: Tue, 22 Sep 2026 12:14:10 +0300 Subject: [PATCH] =?UTF-8?q?fix(ci):=20allowlist=20harness.lock.json=20?= =?UTF-8?q?=D0=B2=20org-baseline=20gitleaks=20(=D0=B5=D0=B4=D0=B8=D0=BD?= =?UTF-8?q?=D1=8B=D0=B9=20=D1=85=D0=B0=D1=80=D0=BD=D0=B5=D1=81=D1=81)?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit generic-api-key принимал sha256-хеш скилла с "-access" в имени за ключ (harness.lock.json — карта имя_скилла -> sha256-хеш, compute_skill_hash в compiler/build_repo_release.py харнесса). Найдено на живой раздаче партии 2 ночной волны 22.09.2026: PR бота #44 красный на gitleaks, distribute упал. Тот же allowlist-путь уже есть в хабе (.gitleaks.toml, найдено 21.09.2026 на w0), но этот репозиторий провизит org-baseline без него (репо-специфичный allowlist хаба сюда намеренно не копируется). Co-Authored-By: Claude Sonnet 5 Claude-Session: https://claude.ai/code/session_01FQXdd4jSDJ2w1Btruietwq --- .github/workflows/gitleaks.yml | 10 ++++++++++ 1 file changed, 10 insertions(+) diff --git a/.github/workflows/gitleaks.yml b/.github/workflows/gitleaks.yml index 92280424..5a8c12db 100644 --- a/.github/workflows/gitleaks.yml +++ b/.github/workflows/gitleaks.yml @@ -98,6 +98,16 @@ jobs: description = "JWT-подобная строка (три base64url части, разделённые точкой)" regex = '''eyJ[A-Za-z0-9_-]{10,}\.[A-Za-z0-9_-]{10,}\.[A-Za-z0-9_-]{10,}''' tags = ["techcon", "custom", "jwt"] + + # Единый харнесс агентов (не репо-специфичная фикстура — универсально + # для любого репозитория, получающего раздачу): generic-api-key + # принимает sha256-хеш скилла с "-access" в имени за ключ (найдено + # 22.09.2026 на живой раздаче партии 2, techcon_activity_graph). + [allowlist] + description = "Генерируемый lock единого харнесса — только sha256-хеши скиллов" + paths = [ + '''\.agents/harness\.lock\.json$''', + ] GITLEAKS_ORG_BASELINE_EOF fi