ci(pilot): coworkerz-ci Pin auf 511ae1b (zizmor-Fix-Validierung) (#34)

* ci(pilot): bump coworkerz-ci Pin auf 511ae1b (zizmor env-Hoisting-Fix)

Validiert als Pilot-Caller den template-injection-Fix der Reusables
(coworkerz-ci PR#1, self-zizmor gruen): Befehls-Inputs via eval,
Multi-Target ruff "src tests benchmarks" via unquoted env-Expansion.

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

* ci(zizmor): impostor-commit-Ignore fuer privaten coworkerz-ci-Pin

zizmor kann mit repo-scoped GITHUB_TOKEN keine Tags/Commits des privaten
coworkerz-ci lesen -> Audit seit 06-04 faelschlich rot. SHA-Echtheit wird
stattdessen bei jedem Bump via gh api Pre/Post verifiziert (Backup-First-
Konvention). Begruendung als Kommentar an der Pin-Zeile.

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

* ci(zizmor): online-audits aus - impostor-commit crasht am privaten Pin

Inline-Ignore wirkt nicht (Audit crasht hart statt Finding zu liefern,
"fatal: no audit was performed"). Kanonische Loesung per zizmor-Docs:
online-audits: false. Trade-off im Workflow dokumentiert; SHA-Echtheit
des coworkerz-ci-Pins wird bei jedem Bump via gh api verifiziert.

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

---------

Co-authored-by: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

Author: marcohost33-maker

.github/workflows/ci-reusable-pilot.yml

@@ -14,7 +14,9 @@ permissions:
 
 jobs:
   gate:
-    uses: marcohost33-maker/coworkerz-ci/.github/workflows/ci-python.yml@69d3bae0bd54792f499b01c1b6e1e8f6b452742b
+    # Pin auf privates coworkerz-ci: SHA-Echtheit wird bei jedem Bump via
+    # gh api Pre/Post verifiziert (zizmor laeuft offline, s. zizmor.yml).
+    uses: marcohost33-maker/coworkerz-ci/.github/workflows/ci-python.yml@511ae1bd35092429ddb8fb08e340a3c2c8bc9406
     with:
       python-version: "3.12"
       install-command: 'pip install -e ".[dev]" pytest-cov'

.github/workflows/zizmor.yml

@@ -43,6 +43,14 @@ jobs:
         uses: zizmorcore/zizmor-action@5f14fd08f7cf1cb1609c1e344975f152c7ee938d  # v0.5.6
         with:
           persona: regular
+          # [2026-06-06] Offline-Modus: impostor-commit crasht hart ("no audit
+          # was performed") am privaten Cross-Repo-Pin coworkerz-ci, weil der
+          # repo-scoped GITHUB_TOKEN designbedingt keine fremden privaten Repos
+          # lesen kann (docs.zizmor.sh/troubleshooting). SHA-Echtheit des Pins
+          # wird stattdessen bei jedem Bump via gh api Pre/Post verifiziert.
+          # Trade-off (dokumentiert): known-vulnerable-actions/stale-refs offline
+          # deaktiviert — kompensiert durch SHA-Pins + Dependabot-Updates.
+          online-audits: false
           # privates Repo ohne GHAS: kein Action-internes Code-Scanning-Upload (wirft sonst
           # "Resource not accessible"). Stattdessen Findings als inline-Annotationen.
           advanced-security: false