PROJECT 4 · CI/CD 연동

실패했을 때만 도는 잡 + 좁은 권한

# .github/workflows/oncall.yml
on:
  workflow_run:
    workflows: ["CI"]
    types: [completed]

jobs:
  fix:
    # CI가 실패로 끝났을 때만
    if: ${{ ... == 'failure' }}
    permissions:
      contents: write
      pull-requests: write
    steps:
      - run: claude -p ...
🔴 자동 입구
사람의 클릭이 없다 — 빨간 X가 곧 호출. if: failure() 또는 workflow_run으로 후속 잡을 깨운다.
🔑 권한은 출구만
PR 권한 + 모델 API 키(secret)만. 게이트 원칙대로 prod에 직접 안 쓴다 — 출력은 무조건 PR.