fix(ci): dicht ongeauthenticeerde @claude-trigger (RCE op publieke repo) (#25)

* fix(ci): vereis vertrouwde repo-rol voor Claude-trigger

claude.yml draaide een agent met Bash + een schrijfrechten-token zodra
een issue/comment de tekst "@claude" bevatte, zonder controle op wie de
auteur is. Op deze publieke repo kon daardoor elke GitHub-gebruiker via
een enkele comment code laten uitvoeren in een runner met het
GITHUB_TOKEN en het CLAUDE_CODE_OAUTH_TOKEN.

De job draait nu alleen wanneer de auteur OWNER, MEMBER of COLLABORATOR
is, voor alle vier de triggers (issue_comment, pull_request_review_comment,
pull_request_review, issues).

claude-code-review.yml is defensief gehard: pull_request-velden lopen nu
via env-variabelen in plaats van directe ${{ }}-interpolatie in het
Bash-blok, zodat script-injectie via PR-metadata wordt voorkomen.

* fix(ci): pin claude-code-action naar commit-SHA

@v1 is een mutable tag: GitHub resolvet die bij elke run naar waar v1
op dat moment naar wijst. Een gecompromitteerde upstream-tag zou
daarmee direct in de drie workflows landen die de agent met een
write-scoped token draaien (claude, claude-code-review, api-sync).

Alle drie nu gepind op het commit-SHA waar v1 nu naar wijst
(51ea8ea), met '# v1' als leesbare annotatie. Conform de hardening-
richtlijn van anthropics/claude-code-action zelf.

* fix(ci): verklein aanvalsoppervlak Claude-workflows verder

Twee aanvullende hardeningen bovenop de @claude-auth-gate:

1. id-token: write verwijderd uit claude, claude-code-review en
   api-sync. Geen enkele step in deze workflows consumeert een
   OIDC-token (geen configure-aws-credentials o.i.d.), dus de
   permissie was dood gewicht. Met id-token: write kon een job
   een OIDC-token munten met de identiteit van deze repo; relevant
   voor claude-code-review omdat die op elke fork-PR draait.

2. claude-code-review draait nu alleen op same-repo PRs
   (head.repo.fork == false). Die workflow checkt de PR-head uit
   en de review-prompt leest bestanden uit die tree (CLAUDE.md
   etc). Op een fork-PR is dat door een aanvaller bestuurde code,
   met CLAUDE_CODE_OAUTH_TOKEN in de omgeving en Bash aan: een
   klassieke prompt-injection-route. De env-var-hardening dekte
   alleen ${{ }}-injectie, niet content-injectie uit de checkout.

api-sync zelf blijft ongewijzigd qua logica: die heeft al een
sanitize-step, gepinde oasdiff en draait niet op untrusted triggers.

* fix(ci): herstel id-token: write voor claude-code-action

Vorige commit verwijderde id-token: write in de aanname dat geen
enkele step het OIDC-token consumeert. Dat was fout: claude-code-action
gebruikt het token intern om te authenticeren tegen de Anthropic
GitHub App. Zonder de permissie faalt elke run met:

  Failed to get OIDC token: Unable to get
  ACTIONS_ID_TOKEN_REQUEST_URL env variable

id-token: write is hersteld op de drie jobs die de action draaien
(claude, claude-review, api-sync/implement). De daadwerkelijke
hardening tegen ongeauthenticeerd misbruik blijft de auth-gate
(claude.yml) en de fork-gate (claude-code-review.yml): die zorgen
dat het token niet vanuit een untrusted trigger bereikbaar is. De
permissie zelf weghalen was geen mitigatie maar een storing.

Author: anneschuth

.github/workflows/api-sync.yml

@@ -180,6 +180,10 @@ jobs:
       contents: write
       pull-requests: write
       issues: write
+      # claude-code-action mints an OIDC token to authenticate to the
+      # Anthropic GitHub App. Required by the action itself. Safe here
+      # because api-sync only runs on schedule / workflow_dispatch, never
+      # on an untrusted trigger.
       id-token: write
 
     steps:
@@ -231,7 +235,7 @@ jobs:
           } >> "$GITHUB_OUTPUT"
 
       - name: Implement with Claude
-        uses: anthropics/claude-code-action@v1
+        uses: anthropics/claude-code-action@51ea8ea73a139f2a74ff649e3092c25a904aed7e # v1
         with:
           claude_code_oauth_token: ${{ secrets.CLAUDE_CODE_OAUTH_TOKEN }}
           claude_args: "--allowedTools Bash,Read,Glob,Grep,Edit,Write"

.github/workflows/claude-code-review.yml

@@ -6,12 +6,23 @@ on:
 
 jobs:
   claude-review:
-    if: ${{ !github.event.pull_request.draft && github.event.pull_request.user.login != 'dependabot[bot]' }}
+    # Only review same-repo PRs. A fork PR runs attacker-controlled code in
+    # this job, and the review prompt reads files from the checked-out tree
+    # (CLAUDE.md etc), so a hostile fork could prompt-inject the agent while
+    # CLAUDE_CODE_OAUTH_TOKEN sits in the environment with Bash enabled.
+    if: >-
+      ${{ !github.event.pull_request.draft &&
+      github.event.pull_request.user.login != 'dependabot[bot]' &&
+      github.event.pull_request.head.repo.fork == false }}
     runs-on: ubuntu-latest
     permissions:
       contents: read
       pull-requests: write
       issues: read
+      # claude-code-action mints an OIDC token to authenticate to the
+      # Anthropic GitHub App. Required by the action itself. Safe here
+      # because the job is gated to same-repo PRs (head.repo.fork == false),
+      # so the token is never reachable from an untrusted fork PR.
       id-token: write
 
     steps:
@@ -21,7 +32,10 @@ jobs:
           fetch-depth: 0
 
       - name: Run Claude Code Review
-        uses: anthropics/claude-code-action@v1
+        uses: anthropics/claude-code-action@51ea8ea73a139f2a74ff649e3092c25a904aed7e # v1
+        env:
+          PR_NUMBER: ${{ github.event.pull_request.number }}
+          REPO: ${{ github.repository }}
         with:
           claude_code_oauth_token: ${{ secrets.CLAUDE_CODE_OAUTH_TOKEN }}
           use_sticky_comment: true
@@ -34,33 +48,33 @@ jobs:
 
             ```bash
             # Dismiss all previous claude[bot] reviews
-            gh api "repos/${{ github.repository }}/pulls/${{ github.event.pull_request.number }}/reviews" \
+            gh api "repos/${REPO}/pulls/${PR_NUMBER}/reviews" \
               --paginate --jq '.[] | select(.user.login == "claude[bot]" and (.state == "CHANGES_REQUESTED" or .state == "COMMENTED")) | .id' \
             | while read -r review_id; do
-                gh api -X PUT "repos/${{ github.repository }}/pulls/${{ github.event.pull_request.number }}/reviews/${review_id}/dismissals" \
+                gh api -X PUT "repos/${REPO}/pulls/${PR_NUMBER}/reviews/${review_id}/dismissals" \
                   -f message="Superseded by new review" -f event="DISMISS" 2>/dev/null || true
               done
 
             # Delete all previous claude[bot] inline review comments
-            gh api "repos/${{ github.repository }}/pulls/${{ github.event.pull_request.number }}/comments" \
+            gh api "repos/${REPO}/pulls/${PR_NUMBER}/comments" \
               --paginate --jq '.[] | select(.user.login == "claude[bot]") | .id' \
             | while read -r comment_id; do
-                gh api -X DELETE "repos/${{ github.repository }}/pulls/comments/${comment_id}" 2>/dev/null || true
+                gh api -X DELETE "repos/${REPO}/pulls/comments/${comment_id}" 2>/dev/null || true
               done
 
             # Delete all previous claude[bot] issue comments (except sticky)
-            gh api "repos/${{ github.repository }}/issues/${{ github.event.pull_request.number }}/comments" \
+            gh api "repos/${REPO}/issues/${PR_NUMBER}/comments" \
               --paginate --jq '.[] | select(.user.login == "claude[bot]" and (.body | test("<!-- claude-code-action") | not)) | .id' \
             | while read -r comment_id; do
-                gh api -X DELETE "repos/${{ github.repository }}/issues/comments/${comment_id}" 2>/dev/null || true
+                gh api -X DELETE "repos/${REPO}/issues/comments/${comment_id}" 2>/dev/null || true
               done
             ```
 
             After cleanup, proceed with the review below.
 
             ---
 
-            Review PR #${{ github.event.pull_request.number }} in ${{ github.repository }}.
+            Review PR #${PR_NUMBER} in ${REPO}.
 
             Read `CLAUDE.md` for project conventions. Pay special attention to:
             - The **CLI Design Principles** section (verb vocabulary, argument rules,

.github/workflows/claude.yml

@@ -12,16 +12,30 @@ on:
 
 jobs:
   claude:
+    # The actor must be a trusted member of the repo (OWNER / MEMBER /
+    # COLLABORATOR). Without this gate, any GitHub user can trigger an agent
+    # with Bash + a write-scoped token by commenting "@claude" on this public
+    # repo.
     if: |
-      (github.event_name == 'issue_comment' && contains(github.event.comment.body, '@claude')) ||
-      (github.event_name == 'pull_request_review_comment' && contains(github.event.comment.body, '@claude')) ||
-      (github.event_name == 'pull_request_review' && contains(github.event.review.body, '@claude')) ||
-      (github.event_name == 'issues' && (contains(github.event.issue.body, '@claude') || contains(github.event.issue.title, '@claude')))
+      (github.event_name == 'issue_comment' &&
+        contains(github.event.comment.body, '@claude') &&
+        contains(fromJSON('["OWNER", "MEMBER", "COLLABORATOR"]'), github.event.comment.author_association)) ||
+      (github.event_name == 'pull_request_review_comment' &&
+        contains(github.event.comment.body, '@claude') &&
+        contains(fromJSON('["OWNER", "MEMBER", "COLLABORATOR"]'), github.event.comment.author_association)) ||
+      (github.event_name == 'pull_request_review' &&
+        contains(github.event.review.body, '@claude') &&
+        contains(fromJSON('["OWNER", "MEMBER", "COLLABORATOR"]'), github.event.review.author_association)) ||
+      (github.event_name == 'issues' &&
+        (contains(github.event.issue.body, '@claude') || contains(github.event.issue.title, '@claude')) &&
+        contains(fromJSON('["OWNER", "MEMBER", "COLLABORATOR"]'), github.event.issue.author_association))
     runs-on: ubuntu-latest
     permissions:
       contents: write
       pull-requests: write
       issues: write
+      # claude-code-action mints an OIDC token to authenticate to the
+      # Anthropic GitHub App. Required by the action itself, not optional.
       id-token: write
       actions: read
 
@@ -32,7 +46,7 @@ jobs:
           fetch-depth: 1
 
       - name: Run Claude Code
-        uses: anthropics/claude-code-action@v1
+        uses: anthropics/claude-code-action@51ea8ea73a139f2a74ff649e3092c25a904aed7e # v1
         with:
           claude_code_oauth_token: ${{ secrets.CLAUDE_CODE_OAUTH_TOKEN }}
           claude_args: "--allowedTools Bash,Read,Glob,Grep,Edit,Write"