PR 자동화에 쓰는 pull_request_target은 원본 저장소의 권한으로 실행돼요. 비밀 값에도 접근할 수 있어, 외부 PR의 코드를 가져와 빌드하거나 테스트하면 자격 증명이 노출될 수 있습니다.

GitHub는 12월 2일부터 이 이벤트를 기본 차단해요. 적용 중인 별도 이벤트 정책이 없는 공개 저장소가 대상입니다. 현재는 실행을 허용하면서, 정책의 Insights에서 차단될 작업을 미리 확인할 수 있어요.

• 11월 10일과 17일 오전 1~3시(KST)에는 기본 차단을 임시 적용합니다. 대상 워크플로는 실행되지 않고 실패로 표시돼요.
• 비공개·내부 저장소와 GitHub Enterprise Server는 이번 기본 차단 대상에서 제외됩니다.

React Status는 Discord CTO가 공개한 Rust 기반 클라이언트를 소개하며, 데스크톱의 Electron과 모바일의 React Native를 대체하는 개발 소식을 전했어요. 피드 설명에 따르면 모바일은 네이티브 UI를 유지하고, 데스크톱과 Rust 앱 코드를 공유하는 방향입니다.

Next.js가 App Router의 서버 API를 Go 파일인 route.go로 작성하는 실험을 canary 브랜치에 병합했어요. Turbopack이 Go 코드를 컴파일합니다. 개발 환경과 자체 호스팅 next start에서는 Node.js가 라우팅과 요청 경로 재작성을 맡고, 별도의 Go 작업 프로세스가 API 요청을 처리해요.

• 정식 지원이 아닌 실험 단계이며, Turbopack과 Go 처리기를 활성화하는 실험 설정이 필요합니다.

스크립트·스타일의 사용을 제한하는 브라우저 보안 정책(CSP)에는, 허용할 태그에 nonce라는 임시 표식을 붙이는 방식이 있어요. 응답의 정책과 HTML 태그에 같은 표식이 들어가야 합니다.

Remix 3.2는 요청마다 표식과 정책을 함께 만드는 미들웨어를 추가했어요. Remix가 생성하는 모듈 로딩용 태그와 css() 스타일에 표식을 자동으로 붙이고, 클라이언트 이동이나 화면 일부 갱신 때도 문서의 표식을 유지합니다.

화면이 제대로 보여도 클릭 뒤 요청이 실패하거나 앱 내부 상태가 잘못 바뀌는 문제는 남을 수 있어요. Reticle은 개발 중인 앱에 SDK를 연결해, 코딩 에이전트가 화면을 조작하면서 네트워크 응답과 콘솔, 등록한 상태 저장소의 변화까지 확인하도록 합니다. 결과는 근거와 함께 통과·실패·판단 불가로 반환하며, 판단 불가를 통과로 처리하지 않아요.