Github Action 실습

GitHubGitHub - kintoun-secops/secops-actions-lab

GitHub - kintoun-secops/secops-actions-lab

Contribute to kintoun-secops/secops-actions-lab development by creating an account on GitHub.

GitHub

0단계. 준비단계

1. 해당 레포를 fork하기

2. git clone 후 uv sync로 환경 맞추기 (uv 설치는 공식 문서 참고)

3. 워크플로를 채우기 전에 아래 로컬에서 먼저 돌리기로 각 도구를 손으로 한 번씩 돌려보기

이것저것 도구 시도해보기

1단계. 워크플로 채우기

• 도구 실행: uv run mypy app/ 같은 실제 명령어 한 줄만 넣으면 되는 부분

• 이벤트 분기: on:, concurrency, if: 조건을 채우는 부분

01 - ruff.yml

name: "01 - Ruff (format + lint + security)"

on:
  workflow_call:
  workflow_dispatch:
permissions:
  contents: read
  pull-requests: write   # reviewdog 인라인 코멘트용
jobs:
  ruff:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: astral-sh/setup-uv@v5
      - run: uv sync --frozen
      - uses: reviewdog/action-setup@v1
        with:
          reviewdog_version: latest

      - name: Ruff lint -> reviewdog (PR 인라인 리뷰)
        if: github.event_name == 'pull_request'
        env:
          REVIEWDOG_GITHUB_API_TOKEN: ${{ secrets.GITHUB_TOKEN }}
        run: |
          uv run ruff check app/ --output-format=rdjson |
            reviewdog -f=rdjson -reporter=github-pr-review -level=warning

      - name: Run Ruff (formatter)
        run: uv run ruff format --check .
      - name: Run Ruff (linter)
        run: uv run ruff check app/

1. 두 가지 트리거만 남겨두기

on: #언제 시작될지
  workflow_call:
  workflow_dispatch:

2. 검사는 두 부분으로 나누기

- name: Run Ruff (formatter)
  run: uv run ruff format --check .
- name: Run Ruff (linter)
  run: uv run ruff check app/

• formatter: 스타일이 통일돼 있는지만 본다. 자동으로 고쳐주지 않고 -check으로 검사만 하는 이유는자동 수정이 diff와 커밋 이력을 지저분하게 만들기 때문이다.

• linter: 진짜 문제를 찾는 친구라고 생각하면 된다. SQL 인젝션, 안전하지 않은 pickle 사용 같은 보안 패턴까지 걸러낸다.

3. if 조건 채우기

 if: github.event_name == 'pull_request'

07- CI summary (orchestrator)

name: "07 - CI summary (orchestrator)"

on:
  workflow_dispatch:
  pull_request:
  push:
    branches: [main]
  schedule:
    - cron: '30 20 * * 0'

concurrency:
  group: ${{ github.workflow }}-${{ github.ref }}
  cancel-in-progress: ${{ github.event_name == 'pull_request' }}

permissions: {}

jobs:
  changes:
    runs-on: ubuntu-latest
    permissions:
      contents: read
    outputs:
      code: ${{ steps.filter.outputs.code || 'true' }}
    steps:
      - uses: actions/checkout@v4
        with:
          fetch-depth: 0
      - id: filter
        env:
          BASE: ${{ github.event.pull_request.base.sha || github.event.before }}
        run: |
          if [ "$GITHUB_EVENT_NAME" != "pull_request" ] && [ "$GITHUB_EVENT_NAME" != "push" ]; then
            echo "code=true" >> "$GITHUB_OUTPUT"; exit 0
          fi
          if [ -z "$BASE" ] || ! git cat-file -e "${BASE}^{commit}" 2>/dev/null; then
            echo "code=true" >> "$GITHUB_OUTPUT"; exit 0
          fi
          changed=$(git diff --name-only "$BASE" HEAD)
          code_changed=$(echo "$changed" | grep -Ev '\.md$|^LICENSE$|^\.gitignore$|^_solution/' || true)
          [ -n "$code_changed" ] && echo "code=true" >> "$GITHUB_OUTPUT" || echo "code=false" >> "$GITHUB_OUTPUT"

  ruff:
    needs: changes
    if: needs.changes.outputs.code == 'true' && github.event_name != 'schedule'
    uses: ./.github/workflows/01-ruff.yml
    permissions: { contents: read, pull-requests: write }

  mypy:
    needs: changes
    if: needs.changes.outputs.code == 'true' && github.event_name != 'schedule'
    uses: ./.github/workflows/02-mypy.yml
    permissions: { contents: read }

  pytest:
    needs: changes
    if: needs.changes.outputs.code == 'true' && github.event_name != 'schedule'
    uses: ./.github/workflows/03-pytest.yml
    permissions: { contents: read, pull-requests: write }

  pip-audit:
    needs: changes
    if: needs.changes.outputs.code == 'true'
    uses: ./.github/workflows/04-pip-audit.yml
    permissions: { contents: read }

  semgrep:
    needs: changes
    if: needs.changes.outputs.code == 'true'
    uses: ./.github/workflows/05-semgrep.yml
    permissions: { contents: read, security-events: write }

  gitleaks:
    needs: changes
    if: needs.changes.outputs.code == 'true' && github.event_name != 'schedule'
    uses: ./.github/workflows/06-gitleaks.yml
    permissions: { contents: read }
    secrets: inherit

  summary:
    runs-on: ubuntu-latest
    needs: [changes, ruff, mypy, pytest, pip-audit, semgrep, gitleaks]
    if: always()
    permissions: {}
    steps:
      - name: 결과 표를 잡 요약에 기록
        env:
          CHANGES: ${{ needs.changes.result }}
          CODE: ${{ needs.changes.outputs.code }}
          RUFF: ${{ needs.ruff.result }}
          MYPY: ${{ needs.mypy.result }}
          PYTEST: ${{ needs.pytest.result }}
          PIP_AUDIT: ${{ needs['pip-audit'].result }}
          SEMGREP: ${{ needs.semgrep.result }}
          GITLEAKS: ${{ needs.gitleaks.result }}
        run: |
          fail=0
          row() {
            case "$2" in
              success) mark="통과" ;;
              skipped) mark="건너뜀" ;;
              *) mark="실패/취소"; fail=1 ;;
            esac
            printf '| %s | %s |\n' "$1" "$mark"
          }
          {
            echo "## 보안 CI 요약"
            echo "| 도구 | 결과 |"
            echo "|---|---|"
            row "Ruff" "$RUFF"
            row "mypy" "$MYPY"
            row "pytest" "$PYTEST"
            row "pip-audit" "$PIP_AUDIT"
            row "Semgrep" "$SEMGREP"
            row "gitleaks" "$GITLEAKS"
          } >> "$GITHUB_STEP_SUMMARY"
          [ "$CHANGES" != "success" ] && fail=1
          [ "$fail" -ne 0 ] && exit 1
          exit 0

1. 트리거 3개 추가하기

• pull_request: 인라인 리뷰와 커버리지 코멘트가 여기 붙는다.

• push (main): merge된 상태를 전부 스캔한다.

• schedule: 코드가 그대로여도 새 CVE가 공개되거나 Semgrep 룰이 갱신되면, 어제 정상이던 커밋이 오늘 오류가 될 수 있어서 매주 한 번씩 다시 돌린다.

2. 도구마다 다른 조건 걸기

• 코드가 바뀌었는가

• 예약 실행인가(schedule)

최종 상태 확인

• 6 failing: pytest, ruff, semgrep, summary, mypy, pip-audit→ 버그·보안 이슈를 잡아냄

• 3 successful: changes, gitleaks, Code scanning results → 정상적으로 통과

번외) gitleaks가 못 잡은 이유?

1. fork할 때 시크릿 파일이 들어간 커밋까지 전체 히스토리를 그대로 가져옴

2. 그 위에 워크플로 파일만 고친 새 커밋 5~6개를 추가했고, 시크릿 파일 자체는 건드리지 않음.

3. gitleaks-action은 PR 스캔 시 브랜치에 새로 추가하는 커밋만 검사함. 즉, 시크릿 파일이 든 옛날 커밋은 과거 상태로 취급돼서 검사대상에 해당하지 않았음

2단계. 브랜치 보호 설정

Ruleset 만들기

• Enforcement status: Active

• Branch targeting criteria: Include default branch

• Require status checks to pass: summary 선택

문서 전용 PR로 검증하기

• mypy, pip-audit, pytest, ruff, semgrep , gitleaks→ Skipped

• changes, summary → Successful

1. 도구들이 안 돌아도, summary만 통과하면 merge 가능

2. 코드가 실제로 바뀌었는데 도구가 하나라도 실패하면 summary도 fail되면서 merge 불가

3단계. 수리하기

(1) pytest: 가격 계산 로직

assert order_total(10) == 9000
E   assert 10000 == 9000

(2) mypy: 리턴 타입 오류

(3) ruff: 린트 + 보안

(4) Semgrep: SQL Injection (taint)

query = "SELECT * FROM users WHERE name LIKE ?"
like_pattern = "%" + q + "%"
cur.execute(query, (like_pattern,))

(5) pip-audit: 의존성 CVE