From eb00e38a7515c6772535322d7b353c9c01718fcc Mon Sep 17 00:00:00 2001
From: ochenstarik-ui <267932263+ochenstarik-ui@users.noreply.github.com>
Date: Fri, 23 Oct 2026 12:35:27 +0700
Subject: [PATCH] ci: pin checkout compatible with Forgejo runner

---
 .github/workflows/bash-syntax.yml                    | 3 ++-
 agents/codex/done/2026-10-23-lightweight-security.md | 4 ++++
 2 files changed, 6 insertions(+), 1 deletion(-)

diff --git a/.github/workflows/bash-syntax.yml b/.github/workflows/bash-syntax.yml
index b8cb131..084e152 100644
--- a/.github/workflows/bash-syntax.yml
+++ b/.github/workflows/bash-syntax.yml
@@ -13,7 +13,8 @@ jobs:
     runs-on: ubuntu-latest
     steps:
       - name: Checkout
-        uses: actions/checkout@v6
+        # v4.2.2 uses Node 20, supported by the current Forgejo runner.
+        uses: https://code.forgejo.org/actions/checkout@11bd71901bbe5b1630ceea73d27597364c9af683
 
       - name: Check every installer
         run: |
diff --git a/agents/codex/done/2026-10-23-lightweight-security.md b/agents/codex/done/2026-10-23-lightweight-security.md
index 282bb1d..ceb737f 100644
--- a/agents/codex/done/2026-10-23-lightweight-security.md
+++ b/agents/codex/done/2026-10-23-lightweight-security.md
@@ -101,3 +101,7 @@ DNS/внутренние Xray-порты остаются локальными.
 Полная VPN-маршрутизация реального сервера, WARP opt-in, arm64 execution и реальный SCP на чужой хост не запускались; вне требуемого Ubuntu amd64 прогона и разрешений. Mirror проверен на fail-closed отказ; готовый публичный mirror релиз не опубликован, нужны файлы с указанными суммами. Блок README требует реально одобренные SHA+checksum и не выдумывает готовый release.
 
 По последнему правилу владельца новый PR ждёт Grok на точном SHA либо Claude по прямому запросу владельца. Два технических Codex-аудита этот release gate не заменяют. CI удалённой ветки проверяется отдельно после публикации; этот отчёт фиксирует локальные/VM результаты.
+
+## Поправка CI после публикации
+
+Первоначальный SHA `9f06756cefb56be41fb815edcf526f2eef924ef4`, автоматические push/PR runs 1/2 (tasks 7364/7365): FAIL **до checkout**, не отказ тестов. Forgejo 9.0.3, runner v6.4.0 отклонил `runs.using=node24` существующего checkout@v6. Workflow закреплён на совместимом Node20 checkout v4.2.2, точный upstream/mirror SHA `11bd71901bbe5b1630ceea73d27597364c9af683`; `action.yml` проверен из Forgejo mirror. Все 12 проверок сохранены. Результат автоматического CI нового head фиксируется в PR и AI-Memory; повторный dispatch не выполнялся.