[TASK-16315] CodeQL: fork PR 에서 SARIF 업로드 비활성

[dekink]

배경

fork PR 의 GITHUB_TOKEN 은 읽기 전용이라 security-events: write 가 적용되지 않아, CodeQL analyze 의 기본 SARIF 업로드가 403 으로 실패합니다 (TA2.0 #1 리뷰에서 확인된 이슈 — 전 public 레포 일괄 반영).

변경 내용

• codeql.yml 의 analyze 스텝에 upload: 분기 추가 — fork PR 에서만 업로드 비활성(분석은 그대로 수행), 같은 레포 PR·push·스케줄은 기존대로 업로드

🤖 Generated with Claude Code

Summary by CodeRabbit

• 개선 사항
  • 포크 저장소에서 발생한 풀 리퀘스트에서는 CodeQL 분석을 수행하되, 분석 결과 업로드는 하지 않습니다. 기타 경우에는 분석 결과를 업로드합니다.

[notion-workspace]

public 레포

[coderabbitai]

No actionable comments were generated in the recent review. 🎉

ℹ️ Recent review info

⚙️ Run configuration

• Configuration used: Organization UI
• Review profile: CHILL
• Plan: Advanced
• Run ID: f6dd4158-335a-42a6-afc7-9b8f573fa776

📥 Commits

Reviewing files that changed from the base of the PR and between 0e2ffb0 and 00b24b0.

📒 Files selected for processing: 1

• .github/workflows/codeql.yml

Included review availability: This review used your included allowance. 0 included reviews remain after this review. Your included PR review attempts over the past 7 days set your current allowance at 2 reviews per hour.

Walkthrough

CodeQL 분석 단계에 SARIF 업로드 조건을 추가했습니다. 포크 저장소의 pull_request 이벤트에서는 업로드하지 않습니다. 그 외에는 업로드합니다. 분석 단계는 계속 실행됩니다.

Changes

CodeQL 업로드 조건

Layer / File(s)	Summary
SARIF 업로드 조건 설정 .github/workflows/codeql.yml	포크 저장소의 pull_request 이벤트에서는 SARIF 업로드를 비활성화합니다. 그 외 이벤트에서는 업로드를 활성화합니다. CodeQL 분석은 계속 수행합니다.

Priority: ⬇️ Low

Estimated code review effort: 1 (Trivial) | ~5 minutes

Change: Bug fix

Suggested reviewers: hmmhmmhm

Merge Risk: ⚪ Minimal · up to 00b24

The workflow continues analysis and preserves SARIF uploads for same-repository pull requests, pushes, and scheduled runs. No merge-blocking issue was identified.

### Architecture Summary

Architecture risk: 🔵 Low · up to 00b24

The changed surface does not map to a changed system, dependency edge, entrypoint, or external dependency.

Changed systems: None identified.

Architecture concerns
No architecture-level concerns identified.

Review details

Before / after behavior

• observed — Modified behavior in .github/workflows/codeql.yml: CodeQL 분석 단계에 업로드 조건을 추가했습니다. 포크 저장소의 pull_request에서는 upload: never, 그 외 이벤트에서는 upload: always로 설정합니다. 분석 단계 자체는 그대로 유지됩니다.

Pre-merge checks: 5

Passed checks: 5 passed

Check name	Status	Explanation
Description Check		Check skipped - CodeRabbit’s high-level summary is enabled.
Title check		제목은 CodeQL의 포크 PR SARIF 업로드 비활성화라는 주요 변경 사항을 정확하고 간결하게 설명합니다.
Docstring Coverage		No functions found in the changed files to evaluate docstring coverage. Skipping docstring coverage check. Docstring coverage is scoped to functions touched by this diff. Analyzed 0 functions across 0…
Linked Issues check		Check skipped because no linked issues were found for this pull request.
Out of Scope Changes check		Check skipped because no linked issues were found for this pull request.

✨ Finishing Touches

🧪 Generate unit tests (beta)

• Commit to this branch
• Create a new PR

• Autofix · Keep fixing CodeRabbit findings and required CI, and resolving merge conflicts

_{Comment @coderabbitai help to get the list of available commands.}