ci: CI 를 실제로 돌게 만들고 그 사이 쌓인 위반 정리

[i3months]

변경 사항

전면 감사에서 나온 P0/P1 3건. CI 가 한 번도 실행된 적이 없다는 게 뿌리라서 그것부터 고쳤다.

1. CI 가 실행되지 않고 있었다 (P0)

.github/workflows/lint.yml 의 트리거가 main/develop 인데, 이 저장소의 기본 브랜치는 dev 이고 (origin/HEAD -> origin/dev) develop 브랜치는 존재하지 않는다. PR·push 어디서도 실행되지 않았다.

트리거만 고쳐도 바로 깨지던 것들이 있어서 같이 정리했다:

문제	조치
npm run type-check 호출 — package.json 에 스크립트 없음	"type-check": "tsc -b" 추가
Go 린트를 ./backend 에서 실행 (go.mod 없음 → 조용히 통과). 정작 realtime/ 은 미검증	working-directory 를 realtime 으로
Go 버전 1.22 하드코딩 (realtime/go.mod 는 1.26.3)	go-version-file: realtime/go.mod
./gradlew checkstyleMain — build.gradle 에 플러그인 없어 태스크 부재	제거 (도입 PR 에서 추가하도록 주석)
테스트 잡이 아예 없음 — vitest 68 / JUnit 39파일 / pytest 321 / go 11파일 전부 CI 밖	레이어별 4개 잡 병렬 + 프론트 build 까지

lint.yml → ci.yml 로 이름 변경(더 이상 lint 만 돌지 않음). docs/git-conventions.md 의 브랜치 전략도 실제(dev 기준)와 일치시켰다 — 이 문서가 develop 을 전제한 게 애초 원인이었다.

2. 그 사이 쌓인 lint 위반 (P1)

• frontend eslint 3건 (react-hooks/refs): useTypewriter, useInterviewSocket 이 렌더 본문에서 ref.current = x 로 최신 prop 을 밀어넣고 있었다. 커밋 후 이펙트로 옮기고, ref 를 읽는 이펙트(타자기 인터벌 / WS 연결)보다 먼저 선언해 같은 커밋 안에서 ref 가 항상 먼저 최신화되게 순서를 보장했다. useRef 초기값이 이미 첫 렌더 값이라 마운트 동작은 그대로. 동작 변경 의도 없음.
• AI flake8 4건: 미사용 import 3건 + F821 1건. F821 은 실제 문제였다 — _make_req() 가 반환형을 문자열로 적고 그 타입을 함수 본문에서 지역 import 했는데, 모듈 최상단이 이미 같은 모듈에서 import 하고 있고 from __future__ import annotations 도 걸려 있어 둘 다 불필요했다.
• AI black 22파일: 포맷 검사가 한 번도 돌지 않아 누적. uv run black . 결과를 별도 커밋으로 분리했다(로직 변경 없음).

3. 의존성 취약점 (P1)

npm audit 13건(high 9) → 0건. semver 범위 안에서 전부 해결되어 package.json 변경 없이 lockfile 만 갱신.

• react-router-dom 7.15.0 → 7.18.2 — 프로덕션 의존성이고 권고 5건: <Link>·useNavigate 백슬래시 open redirect, RSC 에러 핸들러 XSS, deserializeErrors 임의 constructor 주입, 라우트 매칭 DoS, RSC CSRF 우회
• vite 8.0.x → 8.2.1 — dev 서버 계열(path traversal, server.fs.deny 우회, WS 임의 파일 읽기). 배포물 영향 없지만 개발자 로컬이 노출

Dependabot 이 별도로 잡고 있던 postcss·js-yaml·brace-expansion·@babel/core 알림 14건도 이 lockfile 에서 모두 패치 버전 이상이 됐다(postcss 8.5.26, js-yaml 4.3.1, brace-expansion 1.1.18/5.0.9, @babel/core 7.29.7).

테스트

로컬 검증 (모두 통과):

• frontend: eslint 0건 · tsc -b · vitest 68/68 · npm run build · npm audit 0건
• backend: ./gradlew cleanTest test BUILD SUCCESSFUL
• ai: flake8 0건 · black --check 0건 · pytest 321 passed

realtime(Go) 잡은 이 PR 에서 처음 실행된다. 로컬에 Go 툴체인이 없어 검증하지 못했고, 이 코드가 CI 로 검증된 적이 한 번도 없다(이전 워크플로가 잘못된 디렉토리에서 돌았음). 여기서 빨간불이 나면 그건 이 PR 이 만든 회귀가 아니라 드러난 기존 상태다.

영향 범위

• DB 마이그레이션: 없음
• API contract 변경: 없음
• 환경변수 추가/변경: 없음
• 런타임 동작 변경: 의도된 것 없음 (ref 이동 · 의존성 패치버전 · 포맷)

리뷰어 체크포인트

• ci.yml 의 트리거 브랜치가 팀 운영과 맞는지 (dev + main 으로 뒀다)
• realtime 잡 결과 — 처음 도는 검증이라 기존 문제가 드러날 수 있다
• black 22파일 커밋(939e3d8)은 포맷 전용이라 건너뛰고 봐도 된다