From 322ea4b58d76cb649d19eb3d648b34206ae8a74d Mon Sep 17 00:00:00 2001 From: a Date: Sat, 18 Jul 2026 14:40:23 +0000 Subject: [PATCH] docs(ci): describe protected reusable checks --- MAINTAINERS.md | 1 + README.md | 4 ++-- openspec/changes/extract-and-standardize-pggomtm/tasks.md | 2 +- 3 files changed, 4 insertions(+), 3 deletions(-) diff --git a/MAINTAINERS.md b/MAINTAINERS.md index 099831f..cf6c665 100644 --- a/MAINTAINERS.md +++ b/MAINTAINERS.md @@ -9,6 +9,7 @@ - 所有Cargo、PostgreSQL和Docker重计算只在GitHub Actions执行。 - 维护者和Agent可以直接非force推进`main`；失败commit保留并由后续commit修复。 - Pull Request是可选外部贡献入口，始终只读且不得获得package、Release或attestation写权限。 +- `Verify`是`main`的required check。只有具备write权限的owner或Agent可以启用GitHub原生auto-merge；Dependabot PR经维护者确认后可以启用，外部贡献者PR必须由维护者人工决定且workflow不得自行合并。 ## 依赖与兼容审查 diff --git a/README.md b/README.md index 40c3f24..bf070f1 100644 --- a/README.md +++ b/README.md @@ -24,7 +24,7 @@ ## GitHub Actions -`.github/workflows/native-ci.yml`负责依赖解析、Rustfmt、Clippy、Cargo tests、C/Rust ABI、真实 PG18 OAuth、production module 和最终 image 验证。根 `Dockerfile` 只构建 production image，不承载测试或扫描器。 +`.github/workflows/ci.yml`是 PR、`main` push 与 release 调用复用的验证入口，负责依赖解析、Rustfmt、Clippy、Cargo tests、C/Rust ABI、真实 PG18 OAuth、production module 和最终 image。PR 与`main`只读运行且不上传release材料；只有SemVer tag workflow调用时才短暂传递同一run已验证的OCI archive。根`Dockerfile`只构建production image，不承载测试或扫描器。 维护者和 Agent 可以把范围明确的 commit 直接非 force 推送到 `main`。失败 commit 保留并通过后续 commit 修复；失败 run 不得发布 candidate 或 stable。 @@ -33,7 +33,7 @@ 查询远端结果： ```bash -gh run list --repo codeh007/mtmpg --workflow native-ci.yml --branch main --limit 5 +gh run list --repo codeh007/mtmpg --workflow ci.yml --branch main --limit 5 gh run view --repo codeh007/mtmpg --log-failed ``` diff --git a/openspec/changes/extract-and-standardize-pggomtm/tasks.md b/openspec/changes/extract-and-standardize-pggomtm/tasks.md index 9cc5360..bbc3e1e 100644 --- a/openspec/changes/extract-and-standardize-pggomtm/tasks.md +++ b/openspec/changes/extract-and-standardize-pggomtm/tasks.md @@ -53,7 +53,7 @@ - [x] 6.2 合并重复矩阵与support入口，保留单一Rust领域权威、单一真实PG18 backend harness和最小final-image allow/deny smoke - [x] 6.3 用支持`pull_request`、`main` push与`workflow_call`的可复用只读`ci.yml`替代复杂`native-ci.yml`，移除candidate、ORAS evidence和跨仓consumer逻辑 - [x] 6.4 让可复用CI在release调用时上传同一run已验证OCI archive、Cargo.lock、resolved inputs与manifest输入，并证明后续publish无需重新运行Cargo或Docker build -- [ ] 6.5 配置required CI与GitHub原生auto-merge，只允许owner、Agent或批准的Dependabot PR自动合并，外部PR保持人工批准且维护者/Agent可直接非force推进`main` +- [x] 6.5 配置required CI与GitHub原生auto-merge，只允许owner、Agent或批准的Dependabot PR自动合并，外部PR保持人工批准且维护者/Agent可直接非force推进`main` - [ ] 6.6 取得PR与`main`的精确远端成功run，证明两者没有packages、Release、attestation或跨仓写权限，并更新README/维护文档的CI入口 ## 7. 首个标准SemVer prerelease