fix: [66] Pipeline-Identitaet auf ci-bot umstellen (JWT-Auto-Merge + Protection) #67

Merged

forgejo-bot merged 3 commits from bug/66 into main 2026-09-28 13:54:58 +00:00

Conversation 1 Commits 3 Files changed 4 +44 -10

hobbypunk commented 2026-09-28 13:40:05 +00:00

Owner

Copy link

Löst #66 – und stellt nebenbei die komplette Pipeline-Identität auf den neuen Service-User ci-bot um.

Das Problem

automerge.go:208 [E] Unable to get scheduled User[-2]: user does not exist [uid: -2, name: ]

Der ephemeral Action-Token mappet auf den Actions-Pseudo-User (uid -2). handlePullRequestAutoMerge lädt beim Merge den gespeicherten Doer → nicht auflösbar → der geplante Merge wird still verworfen.

Der Fix (in diesem PR)

• pr-auto-merge: Auto-Merge per Authorized Integration (JWT) schedulen – authentifiziert als echter User, DoerID ist auflösbar. Fallback auf Token mit deutlicher Warnung.
• pr-triage.yml: enable-openid-connect: true + Audience der ci-bot-Integration (pr-triage.yml, Event pull_request, write:repository)
• branch-protection.yml: Audience auf die ci-bot-Integration umgestellt (vorher: persönliche Integration von hobbypunk mit vollen Admin-Rechten)

Warum ci-bot

• Least Privilege: Das JWT agiert mit den Rechten des Integration-Owners – bisher Instanz-Admin, jetzt ein Bot-Collaborator mit Admin auf genau diesem Repo
• Ehrliche Attribution: Auto-Merges erscheinen als „merged by ci-bot"
• Konsistent: Renovate hat bereits seinen eigenen User

Self-healing

Die Triage schedult Label-basiert bei jedem Lauf cancel + neu – bereits geplante kaputte Schedules (Doer -2) heilen mit dem ersten Triage-Lauf nach dem Merge.

Aufräumen: Die alte persönliche Integration (u:1:…, Branch-Protection auf hobbypunk) kann in deinen Settings gelöscht werden.

Löst #66 – und stellt nebenbei die komplette Pipeline-Identität auf den neuen Service-User **ci-bot** um. ## Das Problem ``` automerge.go:208 [E] Unable to get scheduled User[-2]: user does not exist [uid: -2, name: ] ``` Der ephemeral Action-Token mappet auf den Actions-Pseudo-User (uid -2). `handlePullRequestAutoMerge` lädt beim Merge den gespeicherten Doer → nicht auflösbar → der geplante Merge wird **still verworfen**. ## Der Fix (in diesem PR) - `pr-auto-merge`: Auto-Merge per **Authorized Integration (JWT)** schedulen – authentifiziert als echter User, `DoerID` ist auflösbar. Fallback auf Token mit deutlicher Warnung. - `pr-triage.yml`: `enable-openid-connect: true` + Audience der ci-bot-Integration (`pr-triage.yml`, Event `pull_request`, `write:repository`) - `branch-protection.yml`: Audience auf die **ci-bot**-Integration umgestellt (vorher: persönliche Integration von hobbypunk mit vollen Admin-Rechten) ## Warum ci-bot - **Least Privilege:** Das JWT agiert mit den Rechten des Integration-Owners – bisher Instanz-Admin, jetzt ein Bot-Collaborator mit Admin auf genau diesem Repo - **Ehrliche Attribution:** Auto-Merges erscheinen als „merged by ci-bot" - **Konsistent:** Renovate hat bereits seinen eigenen User ## Self-healing Die Triage schedult Label-basiert bei jedem Lauf cancel + neu – bereits geplante kaputte Schedules (Doer -2) heilen mit dem ersten Triage-Lauf nach dem Merge. **Aufräumen:** Die alte persönliche Integration (`u:1:…`, Branch-Protection auf hobbypunk) kann in deinen Settings gelöscht werden.

hobbypunk added 1 commit 2026-09-28 13:40:05 +00:00

[66] Auto-Merge per Authorized Integration schedulen (Doer -2 ist nicht aufloesbar) ... cee8b97845

---------

Co-Authored-By: opencode (Mistral GLM) <opencode-agent[bot]@hoppe-dev.eu>

forgejo-actions added the

bug

label 2026-09-28 13:40:12 +00:00

forgejo-actions changed title from [66] Auto-Merge per Authorized Integration schedulen (Doer -2) to fix: [66] Auto-Merge per Authorized Integration schedulen (Doer -2) 2026-09-28 13:40:13 +00:00

forgejo-actions commented 2026-09-28 13:41:40 +00:00

Copy link

📊 Coverage

Metrik	Abdeckung
Zeilen	97.69% (2619/2681)
Branches	81.46% (637/782)
Methoden	96.71% (412/426)

Patch-Coverage: keine getrackten Zeilen geändert

Schwächste Dateien im Projekt

Datei	Abdeckung
app/models/concerns/has_uuid_v7.rb	54.55%
app/components/form/select.rb	72.41%
app/components/layout/flash.rb	84.0%
app/components/concerns/actionable.rb	86.67%
app/components/layout/sidebar.rb	89.47%
app/controllers/settings/security_controller.rb	90.24%
app/controllers/sessions_controller.rb	90.32%
app/components/concerns/inferrable.rb	90.63%
app/components/users/avatar.rb	91.23%
app/controllers/settings/security/otps_controller.rb	91.67%

🔍 Report im Browser ansehen · 📄 Run-Artifact „coverage-report“

<!-- coverage-report --> ## 📊 Coverage | Metrik | Abdeckung | |---|---| | Zeilen | 97.69% (2619/2681) | | Branches | 81.46% (637/782) | | Methoden | 96.71% (412/426) | **Patch-Coverage**: keine getrackten Zeilen geändert **Schwächste Dateien im Projekt** | Datei | Abdeckung | |---|---| | app/models/concerns/has_uuid_v7.rb | 54.55% | | app/components/form/select.rb | 72.41% | | app/components/layout/flash.rb | 84.0% | | app/components/concerns/actionable.rb | 86.67% | | app/components/layout/sidebar.rb | 89.47% | | app/controllers/settings/security_controller.rb | 90.24% | | app/controllers/sessions_controller.rb | 90.32% | | app/components/concerns/inferrable.rb | 90.63% | | app/components/users/avatar.rb | 91.23% | | app/controllers/settings/security/otps_controller.rb | 91.67% | [🔍 Report im Browser ansehen](https://pages.hoppe-dev.eu/hobbypunk/rails-base_app/pr-67/coverage) · [📄 Run-Artifact „coverage-report“](https://code.hoppe-dev.eu/hobbypunk/rails-base_app/actions/runs/1727/artifacts/coverage-report)

hobbypunk added 1 commit 2026-09-28 13:49:27 +00:00

[66] Audiences der ci-bot-Integrationen eintragen ... bafb6d74a0

---------

Co-Authored-By: opencode (Mistral GLM) <opencode-agent[bot]@hoppe-dev.eu>

hobbypunk changed title from fix: [66] Auto-Merge per Authorized Integration schedulen (Doer -2) to [66] Pipeline-Identitaet auf ci-bot umstellen (JWT-Auto-Merge + Protection) 2026-09-28 13:50:07 +00:00

hobbypunk added the

auto-merge

label 2026-09-28 13:51:02 +00:00

forgejo-actions changed title from [66] Pipeline-Identitaet auf ci-bot umstellen (JWT-Auto-Merge + Protection) to fix: [66] Pipeline-Identitaet auf ci-bot umstellen (JWT-Auto-Merge + Protection) 2026-09-28 13:52:16 +00:00

forgejo-bot scheduled this pull request to auto merge when all checks succeed 2026-09-28 13:52:16 +00:00

forgejo-bot canceled auto merging this pull request when all checks succeed 2026-09-28 13:52:17 +00:00

forgejo-bot scheduled this pull request to auto merge when all checks succeed 2026-09-28 13:52:17 +00:00

forgejo-bot canceled auto merging this pull request when all checks succeed 2026-09-28 13:52:17 +00:00

forgejo-bot scheduled this pull request to auto merge when all checks succeed 2026-09-28 13:52:17 +00:00

hobbypunk added 1 commit 2026-09-28 13:53:01 +00:00

[66] Kommentar: Service-User heisst forgejo-bot ... be86c34c0c

---------

Co-Authored-By: opencode (Mistral GLM) <opencode-agent[bot]@hoppe-dev.eu>

forgejo-bot canceled auto merging this pull request when all checks succeed 2026-09-28 13:53:09 +00:00

forgejo-bot scheduled this pull request to auto merge when all checks succeed 2026-09-28 13:53:09 +00:00

forgejo-bot merged commit b552c541d5 into main 2026-09-28 13:54:58 +00:00

forgejo-bot deleted branch bug/66 2026-09-28 13:54:58 +00:00

forgejo-bot referenced this pull request from a commit 2026-09-28 13:55:00 +00:00

fix: [66] Pipeline-Identitaet auf ci-bot umstellen (JWT-Auto-Merge + Protection) (#67)

hobbypunk referenced this pull request 2026-09-28 13:59:40 +00:00

fix: [68] Release-Drafts als forgejo-bot authored (statt Ghost) #69

Sign in to join this conversation.

Reviewers

No reviewers

Labels

Clear labels   

auto-merge

Merged den PR automatisch, sobald alle Checks grün sind (per Triage-Workflow geplant)

  

bug

Something is not working

  

chore

Routine tasks, maintenance

  

dependency

Dependency updates

  

duplicate

This issue or pull request already exists

  

enhancement

New feature

  

wontfix

This won't be fixed

No labels

auto-merge

bug

chore

dependency

duplicate

enhancement

wontfix

Milestone

Clear milestone

No items

No milestone

Projects

Clear projects

No items

No project

Assignees

Clear assignees

No assignees

2 participants

Notifications

Subscribe

Due date

The due date is invalid or out of range. Please use the format "yyyy-mm-dd".

No due date set.

Dependencies

No dependencies set

Reference

hobbypunk/rails-base_app!67

No description provided.