Scale redesign #2 — Segment A: 500-repo 증분 스캐닝 엔진 (M1–M7, M9)

[pureliture]

무엇

security-scanner를 14 repos 주간 full scan에서 500+ repo로 확장하는 재설계(#2)의 Segment A(코드 마일스톤). grill-to-spec으로 합의한 requirements.md/design.md v2를 agentic-execution으로 구현. 비차단(권고형)·대시보드 전용 파이프라인: org 자동발견 카탈로그 → 주기 증분 폴링 + 주기 full baseline → 동시 워커 → per-repo freshness → 스캐너 read API → 스케줄 알림.

마일스톤 (8/8)

• M2 큐 하드닝 — bounded ordered dequeue(신규 GSI 없이 기존 gsi1 status축 + per-shard Limit-K), lease fence 토큰, lease-reaper, starvation backoff, skip-bug 수정
• M5 per-repo freshness — REPO_HEALTH 속성단위 conditional UpdateItem(무클로버/무regress), 스케줄 freshness-evaluator + BREACH_COUNTER, 전역 SCAN_HEALTH 싱글톤 폐기
• M1 카탈로그 reconcile — org 발견(거버넌스 게이트)·opt-out·커버리지, transient 가산적
• M6 disposition — triage.verdict 파생 + verifier enum 매핑 + 필터
• M4 폴링/baseline — ls-remote skip, baseline per-repo enqueue(priority/backpressure/rolling), cadence-overrun 알림
• M3 워커풀 — scan-worker@ systemd 템플릿 + 타이머 + reaper/eval CLI
• M7 read API — findings/freshness/coverage/backlog 읽기전용, Select=COUNT(no full-table Scan), localhost trust model
• M9 알림 — pluggable AlertSink + de-dup/re-notify + 스케줄 탐지→발화

검증

• 1026 passed, 1 skipped(실엔진 gated)
• 설계 리뷰(블로커 4 + 적대 검증) + 통합 리뷰 2 opus(블로커 4/4 CLOSED, 7/7 seam)
• 실 DynamoDB Local(docker 없이 Java jar): bounded dequeue/fence/REPO_HEALTH UpdateItem/Select=COUNT 실 엔진 검증 — RUN_DDB_LOCAL_SMOKE gated, ScyllaDB Alternator에서도 endpoint만 바꿔 재사용
• CodeRabbit: 1차 6건(major 2 포함) 수정 → 재리뷰 0 findings

Segment A 밖 (게이트)

• GATE 1 박스 부하검증: cadence·N(워커 수)·DB(dynamodb-local vs Alternator)는 배포 박스 online 후 측정 → grill-to-spec로 SoT 회귀. 코드의 cadence/N 상수는 placeholder.
• GATE 2 거버넌스: GHAS/org repo-list 실 GET은 human-PR + autopilot stop-condition 해소 후. 현재 GovernanceGatedOrgRepoListProvider가 fail-closed.
• GATE 3 M8 대시보드 UI: 별도 sub-project, 인간 비주얼 수용.

🤖 Generated with Claude Code

[gemini-code-assist]

Code Review

This pull request implements a major scale redesign of the security scanner, transitioning from a single weekly scan-all oneshot model to a queue-based N-worker pool model. Key additions include catalog-driven incremental polling, baseline per-repo enqueuing with priority separation and backpressure, per-repo freshness evaluation (replacing the global scan health check), a pluggable alert sink with de-duplication/re-notification policies, and a cost-bounded read API snapshot query layer for the admin dashboard. The reviewer's feedback is highly constructive and identifies three key areas of improvement: resolving a potential NameError in store.py due to a missing items_to_repo_leases import, adding a timeout to the git ls-remote subprocess call to prevent network hangs, and using .resolve() in path comparisons to ensure robust cache isolation.

Important

The consumer version of Gemini Code Assist on GitHub is being sunset. Starting June 18, 2026, new organization installations will be blocked, and all code review activity will officially cease on July 17, 2026.
For more details on the timeline and next steps, please review the Help Documentation.

[gemini-code-assist]

코드에서 items_to_repo_leases 함수를 호출하고 있으나, 이 함수가 store.py에 임포트되어 있지 않거나 items.py에 정의되어 있지 않을 가능성이 높습니다. 이로 인해 NameError가 발생할 수 있으므로, 임포트를 확인하거나 리스트 컴프리헨션을 사용하여 [repo_lease_from_item(item) for item in lease_items]와 같이 변경해야 합니다.

Suggested change

	for lease in items_to_repo_leases(lease_items):
	for lease in [repo_lease_from_item(item) for item in lease_items]:

[gemini-code-assist]

네트워크 작업인 git ls-remote는 원격 서버가 응답하지 않거나 인증을 요구할 때 무한히 대기(hang)할 수 있습니다. 백그라운드 폴러가 차단되는 것을 방지하기 위해 subprocess.run 호출에 적절한 timeout 설정(예: 30초)을 추가하는 것이 안전합니다.

Suggested change

	result = subprocess.run(
	cmd, check=True, capture_output=True, text=True
	)
	result = subprocess.run(
	cmd, check=True, capture_output=True, text=True, timeout=30
	)

[gemini-code-assist]

poll_mirror_root과 worker_checkout_root가 심볼릭 링크, 상대 경로(예: .. 포함) 등으로 인해 서로 다른 경로 문자열을 가지면서도 실제로는 동일한 물리적 디렉터리를 가리킬 수 있습니다. 단순 == 비교 대신 .resolve()를 사용하여 실제 물리적 경로를 비교하는 것이 안전합니다. 또한, 상대 경로 정규화가 올바르게 수행되는지 검증하기 위해 회귀 테스트(예: dir/../target이 target으로 정규화되는지 확인)를 추가해 주세요.

Suggested change

	if self.poll_mirror_root == self.worker_checkout_root:
	if self.poll_mirror_root.resolve() == self.worker_checkout_root.resolve():

References

1. When normalizing relative paths, ensure that the resolved relative path (resolving directory traversal components like ..) is returned instead of the unnormalized path, and add regression tests to verify proper normalization (e.g., dir/../target to target).