Gitea 28.3.0: проверки доступа, привязка аккаунтов и Actions

Ограничение public-only теперь учитывается на дополнительных маршрутах. Согласно PR #39853, такие токены отклоняются административными API, операциями владельца организации и API создания репозиториев или организаций. Страницы профилей и организаций скрывают от них приватные репозитории и владельцев с ограниченной видимостью. Исправление также затрагивает данные активности, OIDC userinfo и монтирование OCI-блобов. Это важно для интеграций, которым выдали токен только для публичных данных, даже если сам пользователь имеет более широкие права.

Отдельная правка касается режима [oauth2_client].ACCOUNT_LINKING = auto. Раньше форма связывания могла выбрать существующий аккаунт по введённому в ней имени или адресу почты. Теперь автоматическая привязка допускается только при соответствии существующего пользователя внешней идентичности; иначе требуется подтверждение через вход с паролем аккаунта. Условие относится именно к автоматической привязке через внешнего провайдера, а не ко всем способам входа.

В Gitea Actions запуск по событию ревью теперь использует текущий головной коммит pull request вместо commit_id самого ревью. Статус проверки привязывается к фактически запущенному коммиту. Поэтому отзыв, относящийся к более старому коммиту, больше не должен определять ревизию такого запуска. В журнале релиза также отмечено, что исполнители перестают забирать задания репозиториев с отключённым Actions.

Для панелей задач и pull requests изменены запросы подсчёта и индексы таблиц. В PR #40096 разработчики объясняют, что прежняя стоимость части запросов росла вместе со всем экземпляром, а не только с данными просматривающего пользователя. Убраны ненужные подсчёты ревью на странице задач, переработан поиск актуальных запросов на ревью и исправлены индексы.

Результат оптимизации неодинаков для разных СУБД. Авторы PR измеряли страницы на синтетическом наборе, сопоставимом по размеру с gitea.com: 175 тысяч пользователей, 40 тысяч репозиториев, 120 тысяч задач и миллион комментариев. Для ряда сценариев SQLite, PostgreSQL и MySQL показали сокращение времени, но некоторые страницы на MariaDB стали медленнее из-за проверки владельца для каждой строки при длинном сканировании публичных репозиториев. Это результаты авторов изменения, не тестирование Удельтой и не обещание ускорения каждой установки.

Среди других изменений — сведения о файлах релиза в webhook-уведомлениях и фильтрация этапов проекта по связанным задачам. Выпуск отмечен как стабильный. Идентификаторы CVE, уровень серьёзности и диапазоны уязвимых версий в этой новости не приводятся: из одного списка исправлений доступа их установить нельзя.