Resumo

  • bypass_actors é a lista de atores que podem contornar um ruleset; ela descreve capacidade de configuração, não um evento ocorrido.
  • Uma rule suite é um registro diferente: os exemplos do GitHub vinculam uma avaliação a ator, ref, SHAs anterior e posterior, resultado e avaliações das regras.
  • Uma exceção importante deve conservar separadamente a versão da política, a permissão, a transição avaliada, a aprovação distinta e qualquer observação posterior de entrega.

A frase “esse ator pode fazer bypass” parece muitas vezes explicar um caso inteiro. Na verdade, ela só informa uma capacidade. GitHub permite que um ruleset nomeie atores autorizados a contornar suas regras. Uma saída assim pode existir por continuidade operacional, atendimento de urgência ou divisão explícita de responsabilidades. Nada disso é anormal. Ainda assim, um usuário, equipe, aplicativo, papel ou chave listado em bypass_actors não prova push, pull request, ref determinada, avaliação, bypass executado ou aprovação concedida.

A configuração continua sendo relevante, mas pelo que ela efetivamente registra. Um ruleset pode mostrar origem, alvo, condições, estado de enforcement, regras e atores capazes de bypass; o GitHub também disponibiliza histórico de versões. Isso responde qual política estava registrada e quem a alterou em determinado momento. Não responde o que aconteceu numa transição concreta. Uma política versionada não é recibo de execução.

Os modos da API reforçam a fronteira. GitHub documenta always, pull_request e exempt. Em exempt, as regras não são executadas e nenhuma entrada de auditoria de bypass é criada. A existência dessa modalidade não é uma acusação. Ela só mostra por que uma lista atual de permissões não pode ser lida como inventário de todos os bypasses e por que a ausência de entrada não é uma prova universal de ausência de ação.

Para a evidência de uma transição específica, a rule suite é outra superfície. GitHub a define como uma coleção de avaliações de regras e permite filtrá-la por ref, período, ator, resultado e status de avaliação. Os exemplos trazem ator, repositório, ref, SHAs antes e depois, horário, resultado, resultado da avaliação e avaliações individuais. Uma suite com result: bypass pode demonstrar, dentro desse limite, como a plataforma tratou aquela transição. Ela não demonstra sozinha que houve a aprovação humana exigida, que a exceção foi justificada, que a alteração foi integrada ou que alcançou produção.

Também há a sobreposição de controles. GitHub informa que rulesets e regras de proteção de branch podem coexistir e que todas as regras aplicáveis são impostas. Assim, olhar apenas um ruleset pode deixar de fora parte da política vigente para uma ref. Uma suite, por sua vez, pode mostrar fontes de regras diferentes sem virar registro completo de revisão ou de governança. É preciso separar a versão de política aplicável, a avaliação da plataforma, a autorização independente e o efeito operacional alegado.

O recibo de exceção sugerido por Daniel Kade é intencionalmente contido: identificador do repositório, ref precisa, SHAs anterior e posterior, horário observado, fonte e versão do ruleset ou snapshot seguro da política, ator e modo de bypass, resultado da suite, resultado de avaliação e regras individuais necessárias. Caso haja aprovação, ela conserva seu identificador, decisor, alcance e data em outro registro. Merge, tag, release e implantação posteriores são observações próprias. Detalhes sensíveis podem ficar protegidos; o que não deve desaparecer é a fronteira entre capacidade, ação, autorização e efeito.

O método também evita transformar rotina em alarme. Um ator pode receber permissão e jamais usá-la. Um bypass pode ser corretamente autorizado em um expediente separado. Uma política pode mudar sem alteração em uma ref protegida. Uma ref pode mudar e não ser liberada. Esses estados não são, por si, falhas. O erro é exigir de um registro a prova de uma coisa que ele nunca registrou.

Fontes

  1. GitHub Docs — Sobre rulesets
  2. GitHub Docs — Endpoints REST para regras
  3. GitHub Docs — Endpoints REST para rule suites