[spacesarmat]

Что сделано

• SECURITY.md: поддерживаются последний stable (сейчас v0.30.0) и текущая бета (сейчас v0.30.1-beta.3). Сообщения только через закрытую форму. Публичный issue не используется. Срок ответа - ориентир (несколько дней на подтверждение, около недели на первую оценку), без обязательства по дате исправления. Контактов и деталей инфраструктуры нет.
• .github/dependabot.yml: npm (корень, desktop, ops/billing, ops/billing/admin, ops/vps/dht-peers), gradle (/android), cargo (/desktop/src-tauri), github-actions, docker (три Dockerfile), gitsubmodule. Понедельник, 09:00 Europe/Moscow. Группы version-updates и security-updates через applies-to. version-update:semver-major игнорируется для version updates. Лимит: npm 5 и docker 3 (по числу каталогов), остальные 2. Пины Actions по SHA и digest у Docker сохраняются: Dependabot меняет SHA/digest и комментарий версии, а не тег.
• .github/workflows/codeql.yml: javascript-typescript, java-kotlin, rust, actions. Push и pull_request в main, расписание по понедельникам 09:00 МСК. Отдельный workflow, не часть CI и не required. paths-ignore для docs/** и wiki/**. Concurrency с cancel-in-progress. Права: contents: read, security-events: write. Actions по SHA.

Почему java-kotlin собран вручную

В android/ только Kotlin, Java-файлов нет. build-mode: none Kotlin не извлекает. Autobuild вызывает gradle assemble, а release-задачи без ключа подписи падают. Поэтому build-mode: manual и assembleDebug с -PompAbi=arm64-v8a, как отладочная сборка CI. Перед ней: сабмодуль 2160 Player, npm ci, пустой dist-mobile и cap sync.

Rust идет с build-mode: none (нужны rustup и cargo, полный cargo build не запускается).

Проверка

• Схема Dependabot 2.0: 0 ошибок.
• actionlint 1.7.7 для codeql.yml: без замечаний.
• Локально npx cap sync android на пустом dist-mobile проходит, отслеживаемые файлы не меняет.
• CI: build, android, billing, overflow, desktop smoke - зеленые. Упаковка desktop пропущена, пути не менялись.
• CodeQL: javascript-typescript, java-kotlin (assembleDebug BUILD SUCCESSFUL), rust (20 файлов без ошибок извлечения), actions - зеленые. Чек CodeQL: новых alerts в измененном коде нет.
• Greptile: 3 файла, 0 замечаний.
• В ruleset MAIN список required checks пуст, CodeQL туда не добавлялся.

Не мержить: очередь UI-PR идет отдельно. CodeQL-находки в этом PR не исправлялись, потому что новых alerts в diff нет.

  

Confidence Score: 5/5

No code issues were found that would block merging; the author's request to hold this PR still applies.

Summary

Adds private vulnerability reporting guidance, weekly dependency updates, and a separate CodeQL workflow.

• Dependabot checks the project's dependencies every week.
• CodeQL scans the project's four code areas.
• Vulnerability reports now go through a private GitHub form.

_{Reviews (2) · Last reviewed commit: "Merge branch 'main' into cursor/security..." · Reviewed by Greptile}

[github-advanced-security]

You are seeing this message because GitHub Code Scanning has recently been set up for this repository, or this pull request contains the workflow file for the Code Scanning tool.

What Enabling Code Scanning Means:

• The 'Security' tab will display more code scanning analysis results (e.g., for the default branch).
• Depending on your configuration and choice of analysis tool, future pull requests will be annotated with code scanning analysis results.
• You will be able to see the analysis results for the pull request's branch on this overview once the scans have completed and the checks have passed.

For more information about GitHub Code Scanning, check out the documentation.