Laat canonical image-publicatie nooit groen eindigen zonder image #2301

New issue

Closed

opened 2026-10-05 23:42:42 +00:00 by brenno · 0 comments

brenno commented

2026-10-05 23:42:42 +00:00

Owner

Aanleiding

ci-image.yml en ci-image-scans.yml zetten publicatie op no wanneer credentials ontbreken en slaan daarna alle publicatiestappen over. De workflow build-publish eindigt dan groen zonder iets te bouwen of publiceren. Voor de canonical OciDeck-repo is groen daardoor geen bewijs dat het image bestaat; release_auto ziet later success maar faalt alsnog op de registrytag.

Bewijs

.forgejo/workflows/ci-image.yml:43-65 maakt ontbrekende credentials tot een groene skip.
.forgejo/workflows/ci-image-scans.yml:51-73 doet hetzelfde.
docs/CHECKS.md:2280-2286 documenteert de groene skip.
scripts/release_auto.sh:1428-1435 moet daarom na groene CI alsnog constateren dat de tag ontbreekt.

Gewenst gedrag

Op de canonical repo en bij een handmatige dispatch zijn ontbrekende publicatiecredentials een terminale failure met bruikbaar hersteladvies.
Alleen een expliciet herkende fork of niet-publicerende context mag groen overslaan.
Groen op build-publish betekent dat de exact afgeleide tag pullbaar is.
De workflow verifieert de registrytag zelf als naconditie.

Regressietoets

Test de workflowbeslissing voor canonical repo zonder secrets: rood. Met geldige secrets maar ontbrekende registrytag na de build: rood. Alleen een expliciete forkcontext mag de publicatie groen overslaan.

## Aanleiding ci-image.yml en ci-image-scans.yml zetten publicatie op no wanneer credentials ontbreken en slaan daarna alle publicatiestappen over. De workflow build-publish eindigt dan groen zonder iets te bouwen of publiceren. Voor de canonical OciDeck-repo is groen daardoor geen bewijs dat het image bestaat; release_auto ziet later success maar faalt alsnog op de registrytag. ## Bewijs - .forgejo/workflows/ci-image.yml:43-65 maakt ontbrekende credentials tot een groene skip. - .forgejo/workflows/ci-image-scans.yml:51-73 doet hetzelfde. - docs/CHECKS.md:2280-2286 documenteert de groene skip. - scripts/release_auto.sh:1428-1435 moet daarom na groene CI alsnog constateren dat de tag ontbreekt. ## Gewenst gedrag - Op de canonical repo en bij een handmatige dispatch zijn ontbrekende publicatiecredentials een terminale failure met bruikbaar hersteladvies. - Alleen een expliciet herkende fork of niet-publicerende context mag groen overslaan. - Groen op build-publish betekent dat de exact afgeleide tag pullbaar is. - De workflow verifieert de registrytag zelf als naconditie. ## Regressietoets Test de workflowbeslissing voor canonical repo zonder secrets: rood. Met geldige secrets maar ontbrekende registrytag na de build: rood. Alleen een expliciete forkcontext mag de publicatie groen overslaan.

brenno added the

release-blocker

bug

accepted

labels

2026-10-05 23:42:42 +00:00

brenno added the

in-progress

label

2026-10-06 22:32:18 +00:00

brenno referenced this issue from a commit

2026-10-06 22:51:24 +00:00