Demande de Benjamin, 2026-10-08 : « il faut que le scan se fasse au build
pour empêcher le build ». Jusqu'ici, le scan ne tournait que dans la
publication, après la fusion : une PR n'était jamais scannée, et une
dépendance vulnérable passait la revue.
- Toute référence : construction + scan bloquant. Seules develop et
vX.Y.Z publient ; une PR, une autre branche ou main s'arrêtent après le
scan, sous un tag local « controle-<sha> » jamais poussé.
- Identifiants du registre facultatifs : lus et exigés seulement si la
référence publie. Une PR ne se connecte pas au registre.
- REGISTRY_AUTH_FILE n'est exporté que pour publier : pointé sur un
fichier absent, il faisait échouer buildah jusque dans l'export local
vers le scan (constaté au banc, « credential file is not accessible »).
- Sortie « publie » ; « tags » vide quand rien n'est publié.
Banc, 2026-10-08, les deux étapes extraites du YAML et enchaînées :
A. PR, sans identifiants, saine → code 0, registre vide
B. PR, sans identifiants, vulnérable → code 1, image refusée
C. develop, identifiants → :dev et :<sha> publiés
D. develop, sans identifiants → code 1, erreur explicite
E. main → code 0, rien publié
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01VyxLNGHojdXeRMQgWFgzRV
george-claudeandClaude Opus 5.5