Code Quality

jobs:
  lint:
    steps:
      - name: checkout
        uses: "collabops/checkout@v2"
        with:
          repo-url: "https://<collabops-host>/<workspace>/<repository>.git"
      # 변경된 파일을 감지해서 자동으로 적절한 린터 선택.
      - name: lint
        uses: "collabops/lint@v1"

jobs:
  lint:
    steps:
      - name: checkout
        uses: "collabops/checkout@v2"
        with:
          repo-url: "https://<collabops-host>/<workspace>/<repository>.git"
      - name: lint-typed
        uses: "collabops/lint@v1"
        with:
          # enable: 화이트리스트 (지정한 것만). 쉼표 구분, 대문자.
          enable: "TYPESCRIPT,YAML,DOCKERFILE"
          # disable: 블랙리스트 (지정한 것 제외). enable 과 동시 사용 가능.
          disable: "SPELL,COPYPASTE"

jobs:
  lint-fix:
    steps:
      - name: checkout
        uses: "collabops/checkout@v2"
        with:
          repo-url: "https://<collabops-host>/<workspace>/<repository>.git"
      - name: lint-with-autofix
        uses: "collabops/lint@v1"
        with:
          enable: "TYPESCRIPT,JAVASCRIPT"
          # 포매터·자동 수정 가능한 린터에 한해 디스크에 수정 결과 반영.
          apply-fixes: "true"
      # 수정된 결과를 동일 워크플로우의 다른 Job 으로 전달.
      - name: upload-fixes
        uses: "collabops/upload-artifact@v2"
        with:
          name: lint-fixes
          path: .

jobs:
  sast:
    steps:
      - name: checkout
        uses: "collabops/checkout@v2"
        with:
          repo-url: "https://<collabops-host>/<workspace>/<repository>.git"
      # config: "auto" 가 기본 — 언어 감지 후 표준 룰셋 자동 선택.
      - name: sast-scan
        uses: "collabops/sast-scan@v1"

jobs:
  sast:
    steps:
      - name: checkout
        uses: "collabops/checkout@v2"
        with:
          repo-url: "https://<collabops-host>/<workspace>/<repository>.git"
      - name: sast-owasp
        uses: "collabops/sast-scan@v1"
        with:
          # 표준 룰셋. Registry slug, 로컬 파일 경로, URL 모두 지원.
          config: p/owasp-top-ten
          # 이 수준 이상의 finding 이 있으면 Job 실패.
          severity: WARNING

# 보고서를 실패에도 보존하려면 별도 Job 으로 분리 + Job 레벨 if: "always()".
jobs:
  sast:
    steps:
      - name: checkout
        uses: "collabops/checkout@v2"
        with:
          repo-url: "https://<collabops-host>/<workspace>/<repository>.git"
      - name: sast-with-sarif
        uses: "collabops/sast-scan@v1"
        with:
          config: p/security-audit
          # 보안 대시보드/리뷰 도구에 업로드 가능한 표준 포맷.
          output-format: sarif

  archive-sast-report:
    needs: [sast]
    # 이전 Job 의 성공/실패와 관계없이 항상 실행 — 보고서를 무조건 수집.
    if: "always()"
    steps:
      - name: archive-sarif
        uses: "collabops/upload-artifact@v2"
        with:
          name: sast-report
          path: semgrep-results.sarif

jobs:
  secret-scan:
    steps:
      - name: checkout
        uses: "collabops/checkout@v2"
        with:
          repo-url: "https://<collabops-host>/<workspace>/<repository>.git"
          # 시크릿 스캔은 전 히스토리에 대해 실행 권장.
          fetch-depth: "0"
      - name: secret-detect
        uses: "collabops/secret-detect@v1"

# 보고서 보존을 위해 별도 archive Job 분리.
jobs:
  secret-scan:
    steps:
      - name: checkout
        uses: "collabops/checkout@v2"
        with:
          repo-url: "https://<collabops-host>/<workspace>/<repository>.git"
          fetch-depth: "0"
      - name: secret-detect-with-rules
        uses: "collabops/secret-detect@v1"
        with:
          # 사내 룰셋이 리포에 같이 들어있는 경우.
          config: .gitleaks.toml
          report-format: sarif
          report-path: /workspace/source/gitleaks-report.sarif

  archive-secret-report:
    needs: [secret-scan]
    if: "always()"
    steps:
      - name: archive-report
        uses: "collabops/upload-artifact@v2"
        with:
          name: gitleaks-report
          path: gitleaks-report.sarif

jobs:
  quality:
    steps:
      - name: checkout
        uses: "collabops/checkout@v2"
        with:
          repo-url: "https://<collabops-host>/<workspace>/<repository>.git"
      # 외부 SonarQube 서버로 분석 결과를 업로드. 서버 URL/토큰은 워크스페이스 설정에서 주입.
      - name: sonar-scan
        uses: "collabops/sonar-scan@v1"
        with:
          # SonarQube 서버 URL — 워크스페이스 variables 에 SONAR_HOST_URL 등록 후 참조.
          sonar-host-url: ${{ vars.SONAR_HOST_URL }}
          # 분석 토큰 — secrets 에 저장 (평문 입력 금지).
          sonar-token: ${{ secrets.SONAR_TOKEN }}
          # SonarQube 서버에 생성한 프로젝트 키.
          project-key: "<workspace>-<repository>"

# CR 머지 게이트로 쓰려면 change_request 트리거 + qualitygate.wait 조합.
jobs:
  quality:
    steps:
      - name: checkout
        uses: "collabops/checkout@v2"
        with:
          repo-url: "https://<collabops-host>/<workspace>/<repository>.git"
      - name: sonar-scan
        uses: "collabops/sonar-scan@v1"
        with:
          sonar-host-url: ${{ vars.SONAR_HOST_URL }}
          sonar-token: ${{ secrets.SONAR_TOKEN }}
          project-key: "<workspace>-<repository>"
          # 서버 Quality Gate 결과를 기다렸다가 실패 시 step 을 실패시켜 머지를 차단.
          # (서버 측 프로젝트에 Quality Gate 가 설정돼 있어야 의미가 있다.)
          quality-gate-wait: true

jobs:
  quality:
    steps:
      - name: checkout
        uses: "collabops/checkout@v2"
        with:
          repo-url: "https://<collabops-host>/<workspace>/<repository>.git"
      - name: sonar-scan
        uses: "collabops/sonar-scan@v1"
        with:
          sonar-host-url: ${{ vars.SONAR_HOST_URL }}
          sonar-token: ${{ secrets.SONAR_TOKEN }}
          project-key: "<workspace>-<repository>"
          # 분석 대상 소스 경로 (working-directory 기준 상대경로).
          sources: "src"
          # 추가 -D 옵션 passthrough — 공백으로 여러 개 전달.
          extra-args: "-Dsonar.exclusions=**/*.test.ts -Dsonar.sourceEncoding=UTF-8"

- name: sbom
  uses: "collabops/sbom@v1"
  with:
    # 위 표의 값 중 하나 선택 (기본: cyclonedx-json)
    format: spdx-json

jobs:
  sbom:
    steps:
      - name: checkout
        uses: "collabops/checkout@v2"
        with:
          repo-url: "https://<collabops-host>/<workspace>/<repository>.git"
      # 기본: 소스 트리의 CycloneDX JSON -> /workspace/source/sbom.json
      - name: sbom
        uses: "collabops/sbom@v1"

# SBOM 액션은 파일 생성만 — 보관하려면 upload-artifact 로 체인한다.
jobs:
  sbom:
    steps:
      - name: checkout
        uses: "collabops/checkout@v2"
        with:
          repo-url: "https://<collabops-host>/<workspace>/<repository>.git"
      - name: sbom
        uses: "collabops/sbom@v1"
        with:
          # cyclonedx-json | spdx-json | cyclonedx-xml | spdx-tag-value | syft-json
          format: spdx-json
          # 소스 트리는 dir:<경로>, 빌드된 이미지는 registry:<image>
          scan-target: dir:/workspace/source
      # SBOM 은 /workspace/source/sbom.json 을 생성 — 아티팩트로 보관한다.
      - name: upload-sbom
        uses: "collabops/upload-artifact@v2"
        with:
          name: sbom
          path: sbom.json

# 소스 트리 대신 컨테이너 이미지의 설치된 패키지를 스캔.
# checkout 불필요 — syft 가 이미지를 직접 pull 해 분석한다.
jobs:
  sbom:
    steps:
      - name: sbom
        uses: "collabops/sbom@v1"
        with:
          scan-target: "registry:my-registry.example.com/app:1.2.3"
      - name: upload-sbom
        uses: "collabops/upload-artifact@v2"
        with:
          name: sbom
          path: sbom.json