[deep-report] Add --no-security-scanner flag to gh aw upgrade (CLI safety-guard parity gap missed by ADR-45573)
メンテナーはふだん 1 日以内に返信
まだ誰も着手していません。
評価
- 難易度
- 2/5
- 見積もり時間
- 1〜3時間
- 初心者へのやさしさ
- 82/100
調査の方向性
pkg/cli/upgrade_command.go:347-368 から始め、flag の登録と compile 呼び出しを pkg/cli/update_manifest.go:582-585,629-632 の配線と比較します。DisableSecurityScanner が compileWorkflowsForUpdate に到達するまでを追跡します。gh aw upgrade が --no-security-scanner を受け付け、共有パイプラインを通じてオプションを渡し、スキャナーをバイパスできるようになれば完了です。
索引モデルが issue の本文から書いたものです。
説明
Description
ADR-45573 (2026-07-15) closed three of four CLI sibling-command flag-parity gaps between compile/validate/update/upgrade, and explicitly deferred --no-security-scanner on compile/validate as an intentional no-op ("those commands operate exclusively on local files where the scanner is a no-op"). That reasoning does not extend to upgrade: tracing upgrade's Step 4 compile call (compileWorkflowsForUpdate → shared CompileWorkflows pipeline, pkg/cli/upgrade_command.go:347-368) shows upgrade shares the exact same security-scan-enforcing code path as update's manifest-managed-workflow rewrite (pkg/cli/update_manifest.go:582-585,629-632), where a failing ScanMarkdownSecurity finding hard-fails with the message "...or pass --no-security-scanner to skip this check" — a flag upgrade does not register.
Any CI pipeline running gh aw upgrade on a workflow whose upstream manifest source trips a security-scan finding has no bypass short of falling back to update or manual editing — reproducing the exact UX problem ADR-45573 was written to solve, for a flag the ADR's audit missed.
Suggested fix
Register --no-security-scanner on the upgrade command and thread it into the same DisableSecurityScanner option consumed by compileWorkflowsForUpdate, mirroring update's existing flag wiring in pkg/cli/update_manifest.go.
Expected Impact
Closes a real (not hypothetical) escape-hatch gap for CI pipelines running gh aw upgrade, achieving full flag parity across compile/validate/update/upgrade per the original intent of ADR-45573.
Suggested Agent
CLI maintenance / code-quality agent.
Estimated Effort
Quick (~1h)
Data Source
DeepReport Intelligence Briefing analysis (2026-09-25, cycle 3), sourced from Repository Quality Improvement Report #63445.
Generated by 🔬 Deep Report · claude · agent · 202.3 AIC · ⌖ 9.81 AIC · ⊞ 13K · ◷
- expires on Sep 27, 2026, 10:39 AM UTC-08:00
- 主要言語
- Go
- スター
- 5.4k
- フォーク
- 596
- 平均マージ
- 3時間 51分
- マージ済み PR（30日）
- 831
環境構築
このプロジェクトの開発コンテナを、あなたの GitHub アカウントでブラウザ上に起動します。
- Dockerfile または Docker Compose ファイルあり
- プルリクエストのテンプレートなし
- コントリビューションガイドを読む
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
github/gh-aw のほかの issue
-
automated-analysis bug cookie safe-outputs tool-improvement workflow-issue
難易度 2/5 1〜3時間 初心者へのやさしさ 75/100
github/gh-aw#71952 · コメント 3 件 ·
メンテナーはふだん 1 日以内に返信
-
agent-research
難易度 2/5 1〜3時間 初心者へのやさしさ 68/100
メンテナーはふだん 1 日以内に返信
-
wgdonenotdeferred: parenthesized Done() statement escapes non-deferred detection (paren_unwrap_gap)オープンcookie sergo
難易度 2/5 1〜3時間 初心者へのやさしさ 76/100
メンテナーはふだん 1 日以内に返信
-
cookie eslint
難易度 2/5 1〜3時間 初心者へのやさしさ 75/100
メンテナーはふだん 1 日以内に返信
-
automation
難易度 1/5 1時間未満 初心者へのやさしさ 1/100
メンテナーはふだん 1 日以内に返信
似ている issue
-
fix(handlers): explicitly set Content-Type header in static Index handler対応中かも @kage-zero が今日担当しました。 オープン
難易度 1/5 1時間未満 初心者へのやさしさ 85/100
メンテナーはふだん 1 日以内に返信
-
Quick Open: restore dependency-directory exclusions in filesystem fallback対応中かも このイシューにリンクされたプルリクエストがオープン中、またはマージ済みです。 オープン
難易度 2/5 1〜3時間 初心者へのやさしさ 82/100
eugenioenko/ttt#1206 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 68/100
open-policy-agent/opa#9426 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
rorkai/App-Store-Connect-CLI#3192 ·
メンテナーはふだん 1 日以内に返信
-
t:urlDecodeUni does not map U+3002 and U+FF61 to a dot, unlike ModSecurity対応中かも @fzipi が今日担当しました。 オープンbug
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
メンテナーはふだん 1 日以内に返信