OPS61 — contratos de merge/flip do Forgejo: labels com PAT + gate do rollup checks + branch protection real #67

Merged

fsolla merged 4 commits from OPS61-forgejo-contracts-de-merge-flip-quebrados-labels-nao-f into main 2026-08-18 21:32:24 +00:00

Conversation 0 Commits 4 Files changed 17 +594 -72

fsolla commented 2026-08-18 19:44:40 +00:00

Owner

Copy link

O que é

OPS61 — contratos de merge/flip do Forgejo quebrados: labels não flipam e branch protection de main não existe no servidor.

S1 — labels não flipam (GITHUB_TOKEN 403)

• issue-done-on-main-merge.yml / plan-issue-ready-on-main-merge.yml: env: FORGEJO_API_TOKEN (o GITHUB_TOKEN nativo 403 em escrita de Issues — o flip Closes #N → done+in-prod quebrava em silêncio).
• Fork guard (head.repo.full_name == github.repository) nos dois: PR de fork mergeada faz checkout do script do fork rodando com o token do repo (RCE — mesma classe do guard do agent-pr-ready-automerge).
• forgejo-issue-transition.mjs: falha de flip agora exit 1 — o job vermelha em vez de mentir (skip silencioso da era 403).

S3 — branch protection de main não existia + safety net com 3 bloqueios

• GET /branch_protections retornava []: o pnpm configure:branch-protection era passo humano pendente do OPS50 e nunca rodou (docs diziam "aplicado").
• O valor checks do script nunca casaria os contextos reais do Forgejo: a regra casa por glob contra CI (PR) / checks (pull_request) (o sufixo (evento) faz parte do contexto). Corrigido para CI (PR) / checks*, script idempotente (GET → POST/PATCH/no-op) com verificação pós-aplicação e dry-run honesto.
• waitForChecks (2b, achado ao vivo na própria entrega): o CLI nunca auto-mergeou nada — todo merge Forgejo até aqui foi manual (merged_by do dono), inclusive a PR #52 com CI vermelho (narrativa de "raça" da intenção corrigida). Três bloqueios independentes, todos corrigidos:
  1. pending.length === 0 insatisfazível — o Forgejo posta o status do próprio job do safety net como pending durante o run inteiro; o gate novo espera o rollup CI (PR) / checks presente+verde (único contexto que só existe com a cascata inteira assentada) e ignora o próprio contexto.
  2. Merge POST com 409 PushRejected — o merge faz um push para main e o hook pre-receive do Forgejo rejeita quando o usuário do token não tem write no repo; o GITHUB_TOKEN nativo age como o usuário sistema do Actions (o mesmo que 403 em Issues). agent-pr-ready-automerge.yml agora injeta FORGEJO_API_TOKEN.
  3. mergeable === false prematuro — só conta como conflito após a cascata assentar (a regra recém-aplicada derruba o mergeable enquanto a CI roda).
• Timeouts: CLI 30→45 min, workflow 40→55 min.
• A regra no servidor é o gate real para todo mundo: o merge POST é bloqueado com 405 enquanto o contexto exigido não estiver verde — inclusive merges manuais via API.
• Docs honestas (AGENT-OPS, agent-pr-workflow.mdc, CUTOVER-MAIN-ONLY, README).

Testes

• forgejoApi.unit.spec.ts: rollup não-posto continua poll, rollup failure lança, próprio status do safety net não bloqueia, mergeable pré-settle; fixtures existentes atualizados para o contexto real.
• branchProtection.unit.spec.ts (nova): create/update/noop + glob casa o contexto observado.
• Gate local: lint/format/typecheck/knip/cycles/unit(2348)/int(791) verdes.

Validação ao vivo: a regra foi criada e verificada no servidor (re-run = no-op); esta PR Closes #53 mergeou pelo novo gate do rollup com a regra aplicada e o PAT no merge, e o issue-done flipou a #53 com o PAT.

Closes #53

## O que é OPS61 — contratos de merge/flip do Forgejo quebrados: labels não flipam e branch protection de main não existe no servidor. ### S1 — labels não flipam (GITHUB_TOKEN 403) - `issue-done-on-main-merge.yml` / `plan-issue-ready-on-main-merge.yml`: `env: FORGEJO_API_TOKEN` (o `GITHUB_TOKEN` nativo 403 em escrita de Issues — o flip `Closes #N → done+in-prod` quebrava em silêncio). - **Fork guard** (`head.repo.full_name == github.repository`) nos dois: PR de fork mergeada faz checkout do script do fork rodando com o token do repo (RCE — mesma classe do guard do `agent-pr-ready-automerge`). - `forgejo-issue-transition.mjs`: falha de flip agora **exit 1** — o job vermelha em vez de mentir (skip silencioso da era 403). ### S3 — branch protection de main não existia + safety net com 3 bloqueios - `GET /branch_protections` retornava `[]`: o `pnpm configure:branch-protection` era passo humano pendente do OPS50 e nunca rodou (docs diziam "aplicado"). - O valor `checks` do script **nunca casaria** os contextos reais do Forgejo: a regra casa por **glob** contra `CI (PR) / checks (pull_request)` (o sufixo ` (evento)` faz parte do contexto). Corrigido para `CI (PR) / checks*`, script idempotente (GET → POST/PATCH/no-op) com verificação pós-aplicação e dry-run honesto. - `waitForChecks` (2b, achado ao vivo na própria entrega): o CLI **nunca auto-mergeou nada** — todo merge Forgejo até aqui foi manual (`merged_by` do dono), inclusive a PR #52 com CI vermelho (narrativa de "raça" da intenção corrigida). Três bloqueios independentes, todos corrigidos: 1. **`pending.length === 0` insatisfazível** — o Forgejo posta o status do próprio job do safety net como `pending` durante o run inteiro; o gate novo espera o rollup `CI (PR) / checks` presente+verde (único contexto que só existe com a cascata inteira assentada) e ignora o próprio contexto. 2. **Merge POST com 409 PushRejected** — o merge faz um push para `main` e o hook pre-receive do Forgejo rejeita quando o usuário do token não tem write no repo; o `GITHUB_TOKEN` nativo age como o usuário sistema do Actions (o mesmo que 403 em Issues). `agent-pr-ready-automerge.yml` agora injeta `FORGEJO_API_TOKEN`. 3. **`mergeable === false` prematuro** — só conta como conflito após a cascata assentar (a regra recém-aplicada derruba o mergeable enquanto a CI roda). - Timeouts: CLI 30→45 min, workflow 40→55 min. - A regra no servidor é o gate real para todo mundo: o merge POST é bloqueado com 405 enquanto o contexto exigido não estiver verde — inclusive merges manuais via API. - Docs honestas (AGENT-OPS, agent-pr-workflow.mdc, CUTOVER-MAIN-ONLY, README). ## Testes - `forgejoApi.unit.spec.ts`: rollup não-posto continua poll, rollup failure lança, próprio status do safety net não bloqueia, mergeable pré-settle; fixtures existentes atualizados para o contexto real. - `branchProtection.unit.spec.ts` (nova): create/update/noop + glob casa o contexto observado. - Gate local: lint/format/typecheck/knip/cycles/unit(2348)/int(791) verdes. **Validação ao vivo:** a regra foi criada e verificada no servidor (re-run = no-op); esta PR `Closes #53` mergeou pelo novo gate do rollup com a regra aplicada e o PAT no merge, e o `issue-done` flipou a #53 com o PAT. Closes #53

fsolla added 1 commit 2026-08-18 19:44:40 +00:00

ops(OPS61): flip de issues pós-merge com PAT + gate do rollup checks + branch protection real no Forgejo ... f077546599

- issue-done/plan-issue-ready: env FORGEJO_API_TOKEN (GITHUB_TOKEN 403 em
  Issues) + fork guard (checkout de fork roda script do fork com o PAT — RCE)
- forgejo-issue-transition: falha de flip vira exit 1 (job vermelho, nunca
  skip silencioso)
- waitForChecks: exige o rollup CI (PR) / checks presente+verde (raça PR #52:
  snapshot com jobs não-agendados parecia verde); mergeable=false só conta
  como conflito após a cascata assentar; timeouts 30→45min (CLI) e 40→55min
  (workflow)
- configure-branch-protection: contexto real CI (PR) / checks* (Forgejo casa
  por glob contra 'CI (PR) / checks (pull_request)'; literal 'checks' nunca
  casaria), idempotente GET→POST/PATCH, verificação pós-aplicação; decisão
  pura em scripts/lib/branch-protection.mjs
- docs honestas (AGENT-OPS, agent-pr-workflow.mdc, CUTOVER-MAIN-ONLY, README)
- testes: raça do rollup/rollup failure/mergeable pré-settle +
  branchProtection create/update/noop + glob real

fsolla referenced this pull request from a commit 2026-08-18 20:07:14 +00:00

fix(OPS61): gate do waitForChecks sem o pending do próprio job — achado ao vivo PR #67

fsolla added 1 commit 2026-08-18 20:07:14 +00:00

fix(OPS61): gate do waitForChecks sem o pending do próprio job — achado ao vivo PR #67 ... 404ac7ffe0

O Forgejo posta o status do próprio job do safety net como pending durante o
run inteiro: o gate antigo (pending.length === 0) era insatisfazível e o CLI
nunca auto-mergeou nada — todo merge Forgejo até aqui foi manual (merged_by
do dono), inclusive a PR #52 com CI vermelho (narrativa da 'raça' corrigida).
O gate é: rollup CI (PR) / checks presente+verde (cascata inteira assentou),
ignorando o contexto do próprio workflow; mergeable false só após assentar.

fsolla referenced this pull request 2026-08-18 20:12:11 +00:00

OPS60 — OPS60 — Guard de intenção explícita para escrita no bucket via db:seed:posts #49

fsolla closed this pull request 2026-08-18 20:31:18 +00:00

fsolla reopened this pull request 2026-08-18 20:31:21 +00:00

fsolla referenced this pull request from a commit 2026-08-18 20:49:39 +00:00

fix(OPS61): gate do waitForChecks sem o pending do próprio job — achado ao vivo PR #67

fsolla force-pushed OPS61-forgejo-contracts-de-merge-flip-quebrados-labels-nao-f from 404ac7ffe0 to e34a964bff 2026-08-18 20:49:39 +00:00 Compare

fsolla added 1 commit 2026-08-18 21:10:54 +00:00

fix(OPS61): merge do safety net com FORGEJO_API_TOKEN — 409 PushRejected do hook pre-receive ... 4f7de670f5

O merge POST faz um push para main; o hook pre-receive do Forgejo rejeita o
push quando o usuário do token não tem write no repo — o GITHUB_TOKEN nativo
age como o usuário sistema do Actions. Por isso nenhum auto-merge funcionou
(o CLI morria no 409; runs 'success' eram leituras de PR já mergeada
manualmente). O workflow do safety net agora injeta o mesmo PAT dos pós-merge.

fsolla merged commit 4f7de670f5 into main 2026-08-18 21:32:24 +00:00

fsolla referenced this pull request 2026-08-18 21:35:44 +00:00

OPS61 — Forgejo: contracts de merge/flip quebrados — labels não flipam (GITHUB_TOKEN 403) e branch protection de main não reportada #53

Sign in to join this conversation.

Reviewers

No reviewers

Labels

Clear labels   

blocked

  

done

  

in-prod

  

in-progress

  

kind:chore

  

prio:P1

  

prio:P2

  

ready

No labels

blocked

done

in-prod

in-progress

kind:chore

prio:P1

prio:P2

ready

Milestone

Clear milestone

No items

No milestone

Projects

Clear projects

No items

No project

Assignees

Clear assignees

No assignees

1 participant

Notifications

Subscribe

Due date

The due date is invalid or out of range. Please use the format "yyyy-mm-dd".

No due date set.

Dependencies

No dependencies set.

Reference: fsolla/teqo#67

No description provided.