44 Sekunden, ANALYSIS SUCCESSFUL. Am Baustein selbst ist damit nichts mehr
offen. Der inhaltliche Punkt bleibt, aendert aber seine Art: Was eine Analyse
meldet, ist aus einer Pipeline grundsaetzlich nicht zu erfahren - ein
Scanner-Protokoll nennt die Adresse des Berichts, keine Einzelbefunde, und die
Instanz antwortet anonym mit 401. Das ist keine ausstehende Messung, sondern
ein Blick aufs Dashboard.
Die drei Messungen aus Lauf 375 aufnehmen, die Offen-Liste kuerzen
Lauf 375 des ersten Abnehmers (jlab-cluster/helm-charts, Push auf main) hat
drei der vier offenen Punkte von sonar-analysis beantwortet, alle drei positiv.
Sie stehen jetzt auf Gemessenes-Verhalten, wo Gemessenes hingehoert:
- Eine Repository-Variable erreicht einen aus einem fremden Repository
aufgerufenen Workflow. Der Beleg ist der Waechter, der durchlief, und der
Scanner, der startete. Damit ist dieselbe Frage fuer OP_CONNECT_HOST in
publish-helm-chart beantwortet; offen bleibt dort nur noch der Upload selbst.
- Der 59-MiB-Scanner-Download kommt durch, Archiv und Signatur in etwa drei
Sekunden. Der MTU-Vorfall mit der 17-MB-Datei wiederholt sich nicht; die
knotenseitige Behebung haelt beim Dreifachen der Groesse.
- node24 ist im Runner-Image vorhanden, die JavaScript-Action lief.
Dazu ein Satz im Vorspann, dass auch Bestaetigungen auf die Seite gehoeren: Eine
ungeschriebene harmlose Eigenheit kostet dieselbe zweite Messung wie eine
gefaehrliche.
Die Abschlussliste von sonar-analysis ist von vier Punkten auf einen gekuerzt.
Offen bleibt, was eine Analyse ueberhaupt meldet - Lauf 375 hat das nicht
beantwortet, obwohl der Scan lief: Der Bericht wurde erzeugt (603 kB) und nie
hochgeladen. Neu dort der Punkt, der von Anfang an auf der Liste gehoert
haette: welche Analysatoren die Instanz tatsaechlich hat. Analysatoren sind
server-seitige Plugins, und eine Sprachliste aus der Dokumentation sagt darueber
nichts.
Neue Seite in der Reihe der Bausteine, dazu die Zeile in der Tabelle auf Home.
Die Seite traegt, was im README keinen Platz hat: warum die Analyse eine
Beobachtung und bewusst kein Torwaechter ist und unter welchen zwei Bedingungen
sich das aendert, warum fetch-depth: 0 nicht optional ist, warum kein
Docker-Runner noetig ist (die Scan-Action ist eine JavaScript-Action), was der
Scanner zur Laufzeit holt und warum dieser Download die wahrscheinlichste
Stelle fuer den ersten Fehlschlag ist, sowie die Trennung von Variable und
Secret.
Am Ende die Liste dessen, was an diesem Baustein noch nicht gemessen ist -
node24 im Runner-Image, der Scanner-Download, ob vars in einem von fremd
aufgerufenen Workflow ankommt, und was der erste Lauf aus den Helm-Templates
meldet. Sie steht dort, damit niemand sie zweimal zusammentragen muss, und
gehoert nach dem ersten Lauf auf Gemessenes-Verhalten umgezogen.
jklein