fix: harden CI evidence and removal contracts

2026-08-02 14:48:04 +09:00
parent 1bb2cc4a20
commit f49d147b01
20 changed files with 1175 additions and 767 deletions
@@ -56,8 +56,8 @@ Promotion job에는 build/rebuild command가 없으며 검증한 archive 자체

 Provider baseline은 Gitea 1.26.4 이상과 Gitea Runner 1.0.0 이상이다. 이
 workflow의 provider job은 Linux runner에서 실행 권한이 있는
-`/usr/bin/bwrap`를 필수로 요구하며, 사용할 Node 실행 파일도 sandbox 안의
-`/usr/local/bin/node`로 고정한다. Provider command는 bubblewrap 안에서
+`/usr/bin/bwrap`를 필수로 요구하며, trusted `process.execPath`를 sandbox 안의
+`/tmp/node`에 read-only bind한다. Provider command는 bubblewrap 안에서
 `/bin/sh -eu -c`로 비대화식 실행되고 30분 안에 종료되어야 한다. Sandbox는
 workspace를 read-only로 bind하고 `.git`을 가리며, 별도의 `untrusted`
 raw-evidence 하위 디렉터리만 writable로 노출한다. 따라서 command는 전달된