codeql.yml

# CodeQL Static Analysis - findet SSRF, Path-Traversal, Injection etc.
# Ergebnisse landen im Security-Tab des Repos (Tab "Code scanning").
#
# v4 statt v3 verwendet, weil v3 im Dezember 2026 deprecated wird
# (Node.js 20 EOL, v4 läuft auf Node.js 24). Quelle:
# https://github.blog/changelog/2025-10-28-upcoming-deprecation-of-codeql-action-v3/
#
# CVE-Hinweis: v3.26.11 bis v3.28.2 waren von CodeQLEAKED betroffen
# (GHSA-vqf5-2xx6-9wfm) - Token-Leak in Debug-Artifacts. v4 ist davon
# nicht betroffen.
name: CodeQL Security Scan

on:
  push:
    branches: [main]
  pull_request:
    branches: [main]
  schedule:
    # Wöchentlich Sonntags 03:00 UTC - Out-of-Band damit nicht mit
    # anderen Workflows konkurriert.
    - cron: '0 3 * * 0'

env:
  # Erzwingt Node.js 24 fuer JavaScript-basierte Actions (z.B. checkout).
  # Verhindert Node20-EOL-Warnings und macht den Runner kompatibel mit
  # neueren Action-Versionen die nur noch Node24 supporten.
  # Wird vom Workflow Health Checker (Check 29) als Pflicht geprueft
  # sobald actions/checkout@ im File vorkommt.
  FORCE_JAVASCRIPT_ACTIONS_TO_NODE24: true

permissions:
  contents: read
  security-events: write   # Findings ins Security-Tab schreiben
  actions: read

concurrency:
  group: ${{ github.workflow }}-${{ github.ref }}
  cancel-in-progress: false

jobs:
  analyze:
    name: Analyze Python
    runs-on: ubuntu-latest
    timeout-minutes: 30

    steps:
      - name: Checkout
        uses: actions/checkout@de0fac2e4500dabe0009e67214ff5f5447ce83dd # v6.0.2

      - name: Initialize CodeQL
        uses: github/codeql-action/init@89a39a4e59826350b863aa6b6252a07ad50cf83e # v4.32.4
        with:
          languages: python
          # Erweiterte Security+Quality Queries (findet mehr als das Default-Set)
          queries: security-and-quality

      - name: Perform CodeQL Analysis
        uses: github/codeql-action/analyze@89a39a4e59826350b863aa6b6252a07ad50cf83e # v4.32.4
        with:
          category: "/language:python"