CI 分界改成「會不會影響 correctness」：Gitleaks 掛回 PR

[hoshimoe]

裁示（2026-08-16）。組織的十五個倉庫同名分支各一條。

改了什麼

Gitleaks 掛回 PR，其餘掃描（CodeQL／Trivy）留在 main 與手動。

判準是「漏到 main 之後要付什麼」：

	補救
CodeQL／Trivy 找到的	修程式，修好就結束
一個憑證	刪掉不夠——它已經在 git 歷史裡，而歷史是共用的、被 clone 過的、可能被 fork 過的。唯一有效的補救是輪替那把憑證

前者在 PR 攔下與在 main 攔下代價一樣，所以放 main 是純賺的
（省下每個 PR 數分鐘）；Gitleaks 是唯一兩者代價不同的，
而差的那一段是找人去輪替憑證——那不是 CI 省得下來的東西。

作法：閘門下移，不動檢查名稱

• ci.yml 的 security job 拿掉 if:（留在那裡會把 Gitleaks 一起關掉）
• security.yml 的 codeql／trivy 各自帶
  if: github.event_name != 'pull_request'
• Gitleaks 那個 job 刻意沒有那一行

刻意不把 Gitleaks 搬成獨立的 gitleaks.yml。 第一版就是那樣寫的，
寫完才讀到 security.yml 的 on: 註解——它早就記著搬出去的代價：
檢查名稱會從 安全掃描 / Gitleaks 變成 Gitleaks / Gitleaks，而
分支保護是按名字釘的。舊名字再也不會出現，required check 要嘛把 PR
卡死，要嘛安靜地不再有人看。閘門下移拿到完全相同的行為，
而且一個字都沒改到名稱。

能這樣做的前提：被 ci.yml 呼叫時，security.yml 讀到的 github.event_name
是呼叫端的事件。

驗證

• 39 支 workflow YAML 全部 parse 通過
• 逐倉庫斷言「ci.yml 的 security 無 if:；security.yml 的掃描有閘門、
  gitleaks 沒有」
• 本次不動任何站臺程式碼，只動 workflow

一件要知道的

「required」設不了：required status checks 是分支保護／ruleset 的設定，
不在倉庫檔案裡。本輪改的是「會不會跑」。