chore: merge develop into eslint branch #18

2026-09-28 15:19:32 +03:00
parent d20be86d73 95fdc8759e
commit 959aeaae57
4 changed files with 82 additions and 63 deletions
@@ -113,14 +113,30 @@ Chromium при ширинах 375 и 1280 px. Browser project не исполь
 и его заглушки layout API. Только браузерная проверка:
 `npm run test:run -- --project='browser-*'`. После обновления Playwright повторите
 установку Chromium; CI устанавливает его с `--with-deps` для Linux.
-Отдельный CI workflow `Frontend security` на push, pull request и ежедневно
-проверяет полную доступную историю Gitleaks 8.30.1 и выполняет
+Единый `.gitea/workflows/verify.yml` запускает `commits → security → verify`
+последовательно на PR; на push в `develop`/`main` — `security → verify`.
+Рабочие ветки проверяются после открытия PR, без дублирующего push-запуска.
+Изменение заголовка PR тоже повторяет проверки Conventional Commits.
+Новый запуск отменяет устаревший для того же PR/ветки и типа события
+(требуется Gitea 1.26+). Ежедневно в 05:17 UTC выполняется только `security`.
+Job `security` проверяет полную доступную историю Gitleaks 8.30.1 и выполняет
 `npm audit --include=dev --audit-level=low`. Любой advisory блокирует security job;
 исключений frontend нет. Локально можно выполнить те же команды:
 `gitleaks git --log-opts=--all --redact=100 --no-banner` и
 `npm audit --include=dev --audit-level=low`. Audit требует доступа к npm registry;
 проверка секретов выполняется локально и не выводит их значения.

+Имена jobs `commits`, `security`, `verify` сохранены, но Gitea включает имя
+workflow в статус. При внедрении администратор должен заменить required checks
+для защищённых веток на `Frontend verify / commits (pull_request)`,
+`Frontend verify / security (pull_request)` и
+`Frontend verify / verify (pull_request)`, удалив старые имена и push-статусы,
+если они требовались. Все три PR-проверки должны оставаться обязательными.
+Публикация образов по тегам остаётся в `image.yml`.
+Последовательность jobs ограничивает один запуск; для ограничения нагрузки всего сервера настройте
+`runner.capacity: 1` у общего runner и учтите остальные зарегистрированные
+runners. Конфигурация runner управляется вне этого репозитория.
+
 TypeScript остаётся на 5.9.3: `openapi-typescript@7.13.0` требует peer `^5.x`.
 Обновление до TypeScript 7 из Renovate dashboard откладывается до совместимого
 релиза генератора; `--force`/`--legacy-peer-deps` для обхода этого ограничения