ci: CodeQL 보안 스캔 워크플로우 추가 - #30

• main/develop push, PR, 월간 일정에서 JavaScript/TypeScript 보안 스캔을 실행합니다.
• Next.js 빌드 후 보안·품질 쿼리를 실행하고 코드 스캐닝 결과를 게시합니다.
• 작업별 최소 권한과 언어 매트릭스로 안전한 확장 기반을 마련합니다.

graph TD
  A["GitHub Events"] --> B["CodeQL Job"] --> C["Initialize Scan"] --> D["Node Build"] --> E["CodeQL Analysis"] --> F["Security Results"]

Loading

The following are alternative approaches to this PR:

1. 빌드 없는 JavaScript 분석

• ➕ Supabase 시크릿 의존성을 제거할 수 있음
• ➕ 워크플로우 실행 시간과 실패 지점을 줄임
• ➕ 포크 PR에서도 일관되게 실행 가능
• ➖ 빌드 중 생성되는 코드나 경로를 분석하지 못할 수 있음
• ➖ 실제 빌드 흐름을 함께 검증하지 않음

Recommendation: 현재의 명시적 npm 빌드는 실제 Next.js 빌드 경로까지 분석하려는 경우 적합합니다. 다만 JavaScript/TypeScript CodeQL이 빌드 없이도 충분한 범위를 제공한다면, 시크릿 노출 범위와 CI 복잡도를 줄이기 위해 빌드 단계를 제거하는 방안을 우선 검토하는 것이 좋습니다.

Other (1) +40 / -16

codeql.ymlCodeQL 스캔 트리거와 빌드 기반 분석 구성 +40/-16

CodeQL 스캔 트리거와 빌드 기반 분석 구성

• main/develop push와 PR, 매주 월요일 예약 실행을 구성합니다. JavaScript/TypeScript 보안·품질 쿼리를 초기화하고 Node.js 20에서 의존성 설치와 Next.js 빌드를 수행한 뒤 결과를 코드 스캐닝에 게시합니다.

.github/workflows/codeql.yml

Description

pull_request에서도 실행되는 새 빌드 단계는 fork 및 Dependabot PR에 제공되지 않는 Supabase secrets를 사용하므로 빈 URL/key로
createBrowserClient를 초기화하다 next build가 실패합니다. 이 때문에 외부 기여 PR은 CodeQL 분석 단계까지 도달하지 못합니다.

Code

.github/workflows/codeql.yml[R45-48]

+      - name: Build
+        run: npm run build
+        env:
+          NEXT_PUBLIC_SUPABASE_URL: ${{ secrets.NEXT_PUBLIC_SUPABASE_URL }}

Relevance

●●● Strong

Recent reviews consistently accept concrete reliability failures affecting user-visible workflows;
fork-secret build failure is similarly actionable.

PR-#26
PR-#29

ⓘ Recommendations generated based on similar findings in past PRs

Evidence

GitHub 문서는 fork workflow에 GITHUB_TOKEN 외 secrets가 전달되지 않는다고 명시합니다. 이 저장소는 누락된 값을 빈 문자열로 바꾼 뒤 즉시
Supabase browser client를 만들며, 해당 라이브러리는 빈 URL/key에서 예외를 던집니다; 기존 CI가 유효한 placeholder를 사용하는 것도 빌드에 이
설정이 필요함을 보여 줍니다.

.github/workflows/codeql.yml[3-10]
.github/workflows/codeql.yml[45-50]
.github/workflows/ci.yml[21-25]
src/lib/supabase.ts[4-12]
src/app/quests/page.tsx[1-5]
🌐 Fork에서 시작된 workflow에는 GITHUB_TOKEN을 제외한 secrets가 전달되지 않으며 Dependabot 이벤트에도 secrets가 제공되지 않습니다.
🌐 createBrowserClient는 supabaseUrl 또는 supabaseKey가 비어 있으면 필수 설정 오류를 throw합니다.

Agent prompt

The issue below was found during a code review. Follow the provided context and guidance below and implement a solution

## Issue description
Fork 및 Dependabot PR에서는 repository secrets가 전달되지 않아 CodeQL의 `npm run build`가 빈 Supabase 설정으로 실패합니다.

## Issue Context
JavaScript/TypeScript CodeQL은 소스 빌드 없이 분석할 수 있습니다. 빌드를 유지해야 한다면 실제 secrets 대신 일반 CI와 같은 비밀이 아닌 유효한 placeholder를 사용해야 합니다.

## Fix Focus Areas
- .github/workflows/codeql.yml[45-50]
- .github/workflows/ci.yml[21-25]

ⓘ Copy this prompt and use it to remediate the issue with your preferred AI generation tools

Description

CodeQL 작업이 저장소의 npm run build를 실행하면서 고권한 SUPABASE_SERVICE_ROLE_KEY를 전달하므로, 동일 저장소 PR이 수정한 빌드
스크립트나 빌드 시 실행되는 코드가 해당 키를 읽고 유출할 수 있습니다. JavaScript/TypeScript CodeQL에는 빌드가 필요하지 않아 이 자격 증명 노출은 분석에
불필요합니다.

Code

.github/workflows/codeql.yml[R45-50]

+      - name: Build
+        run: npm run build
+        env:
+          NEXT_PUBLIC_SUPABASE_URL: ${{ secrets.NEXT_PUBLIC_SUPABASE_URL }}
+          NEXT_PUBLIC_SUPABASE_ANON_KEY: ${{ secrets.NEXT_PUBLIC_SUPABASE_ANON_KEY }}
+          SUPABASE_SERVICE_ROLE_KEY: ${{ secrets.SUPABASE_SERVICE_ROLE_KEY }}

Relevance

●●● Strong

Recent security review accepted preventing unsafe credential handling; exposing a service-role key
to PR build code is a close risk.

PR-#26

ⓘ Recommendations generated based on similar findings in past PRs

Evidence

워크플로우는 next build에 service-role secret을 직접 주입하지만, 기존 CI는 동일 빌드를 placeholder로 수행합니다. GitHub의 CodeQL
문서는 JavaScript/TypeScript가 소스를 빌드하지 않는 none 모드를 지원한다고 명시하므로 실제 서비스 자격 증명을 전달할 분석상 이유가 없습니다.

.github/workflows/codeql.yml[42-50]
package.json[5-12]
.github/workflows/ci.yml[21-25]
.github/workflows/ci.yml[52-53]
🌐 CodeQL의 none build mode는 JavaScript/TypeScript에서 사용할 수 있으며 소스 빌드 없이 데이터베이스를 생성합니다.

Agent prompt

The issue below was found during a code review. Follow the provided context and guidance below and implement a solution

## Issue description
CodeQL 빌드가 PR에서 변경 가능한 저장소 코드를 실제 Supabase service-role secret과 함께 실행합니다.

## Issue Context
JavaScript/TypeScript CodeQL은 `none` build mode를 지원하므로 빌드 자체를 제거할 수 있습니다. 빌드를 별도 검증 목적으로 유지한다면 실제 자격 증명 대신 기존 CI의 비밀이 아닌 placeholder를 사용하세요.

## Fix Focus Areas
- .github/workflows/codeql.yml[42-50]
- .github/workflows/ci.yml[21-25]

ⓘ Copy this prompt and use it to remediate the issue with your preferred AI generation tools

Description

기존 full commit SHA 고정을 @v4/@v3 mutable 태그로 바꿔 향후 태그 이동이나 action 저장소 침해 시 이 보안 스캔이 검토되지 않은 코드를
실행하게 됩니다. 새 setup-node action도 동일하게 mutable 태그를 사용합니다.

Code

.github/workflows/codeql.yml[R27-28]

+      - name: Checkout repository
+        uses: actions/checkout@v4

Relevance

●●● Strong

Recent repository reviews accept security hardening and immutable handling concerns; no rejection
precedent found.

PR-#26

ⓘ Recommendations generated based on similar findings in past PRs

Evidence

변경된 워크플로우의 네 action 호출은 모두 major 태그를 사용하지만 저장소의 다른 workflow는 전체 SHA를 사용합니다. GitHub는 full-length
commit SHA가 action을 immutable release로 사용하는 유일한 방법이며 태그는 이동·삭제될 수 있다고 설명합니다.

.github/workflows/codeql.yml[27-37]
.github/workflows/codeql.yml[52-53]
.github/workflows/ci.yml[28-32]
🌐 GitHub는 full-length commit SHA 고정만이 action을 immutable하게 사용하는 방법이며 태그는 공격자가 저장소 접근권을 얻으면 이동될 수 있다고 명시합니다.

Agent prompt

The issue below was found during a code review. Follow the provided context and guidance below and implement a solution

## Issue description
CodeQL workflow의 third-party action 참조가 mutable major-version 태그를 사용해 기존 SHA 고정 보장을 잃었습니다.

## Issue Context
각 태그가 가리키는 검증된 최신 release commit의 전체 SHA를 사용하고, 가독성을 위해 옆에 버전 주석을 남기세요.

## Fix Focus Areas
- .github/workflows/codeql.yml[27-31]
- .github/workflows/codeql.yml[36-37]
- .github/workflows/codeql.yml[52-53]

ⓘ Copy this prompt and use it to remediate the issue with your preferred AI generation tools

💡 Did you know, you can start a comment with 'qodo' or '@qodo' to chat about any finding

More tips ↗ | Customize Qodo ↗ | Qodo docs ↗

Walkthrough

CodeQL 워크플로가 main과 develop 브랜치의 변경 및 주간 일정에서 실행됩니다. JavaScript/TypeScript 분석 매트릭스, 작업별 권한, Node.js 20 환경, npm 의존성 설치, 애플리케이션 빌드와 security-and-quality 분석이 추가되었습니다.

Changes

CodeQL 워크플로

Estimated code review effort: 3 (Moderate) | ~20 minutes

Merge Risk: 🔵 Low · up to 892fe

The PR adds automated CodeQL scanning, but its workflow currently uses mutable action references and an outdated CodeQL major version, which can weaken build reproducibility and supply-chain controls. It is mergeable with explicit owner awareness or follow-up to pin reviewed commit SHAs and update CodeQL to v4.

• X
• Mastodon
• Reddit
• LinkedIn