보안 안내

현재 main의 구현 상태는 README에서 확인합니다. 운영 배포와 실제 AI 연결은 별도 검증 대상입니다.

기록할 때

API 키, 비밀번호, 인증 토큰을 파일이나 Issue에 기록하지 않습니다.
실제 사용자 목표와 개인정보를 검증용 예시로 업로드하지 않습니다.
검증에는 가상 목표와 비식별 예시를 사용합니다.
외부 Action은 검토한 전체 커밋 SHA로 고정합니다.
CI의 기본 권한은 읽기로 유지합니다.
Claude 리뷰는 Issue·PR 댓글 작성 권한만 추가합니다. 코드 쓰기·승인·병합 권한을 주지 않습니다.
Secret을 받는 리뷰는 기준 브랜치만 checkout합니다. PR diff는 자료로 읽고 실행하지 않습니다.
트리거 사용자의 실제 저장소 쓰기 권한을 확인합니다. 봇 이벤트, fork PR, Draft PR은 자동 리뷰에서 제외합니다.
Claude Action과 그 내부 Bun 설치 Action의 검토한 전체 SHA만 예외로 허용합니다. 다른 외부 Action의 허용 범위를 넓히지 않습니다.
AI로 private 소스와 Issue 내용을 전송하기 전에 해당 서비스의 계정·조직 정책을 확인합니다.

저장소 소유자에게 비공개로 알립니다. 노출된 값 자체를 재게시하지 않습니다. 자격 증명이 노출되면 해당 서비스에서 폐기하거나 교체합니다. Git 기록에서 파일을 삭제하는 것만으로 노출이 해결되었다고 판단하지 않습니다.