From 2807db1bf686c621bacfb78b68500353d396968b Mon Sep 17 00:00:00 2001
From: pkdee <gdpark.dev@gmail.com>
Date: Sun, 28 Jun 2026 03:29:50 +0900
Subject: [PATCH] =?UTF-8?q?fix:=20deploy-server=20=EC=8B=9C=ED=81=AC?=
 =?UTF-8?q?=EB=A6=BF=20=EB=B3=B4=EA=B0=84=C2=B7=EB=A1=9C=EA=B7=B8=20PII=20?=
 =?UTF-8?q?=EC=A0=9C=EA=B1=B0?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

- AZURE_CLIENT_ID 를 run 본문 보간 대신 env 로 받아 변수명만 검사
- az containerapp update 출력을 -o none 으로 억제(생성자 이메일·아웃바운드 IP 노출 차단)

Closes #53
---
 .github/workflows/deploy-server.yml | 11 +++++++++--
 1 file changed, 9 insertions(+), 2 deletions(-)

diff --git a/.github/workflows/deploy-server.yml b/.github/workflows/deploy-server.yml
index fe58673..b082a94 100644
--- a/.github/workflows/deploy-server.yml
+++ b/.github/workflows/deploy-server.yml
@@ -30,8 +30,12 @@ jobs:
 
       - name: Check Azure secrets
         id: gate
+        env:
+          # 시크릿을 run 본문에 직접 보간하지 않고 env 로 받아 변수명으로만 검사한다
+          # (보간하면 마스킹 전에 스크립트 렌더 파이프라인을 평문으로 통과).
+          AZURE_CLIENT_ID: ${{ secrets.AZURE_CLIENT_ID }}
         run: |
-          if [ -n "${{ secrets.AZURE_CLIENT_ID }}" ]; then
+          if [ -n "$AZURE_CLIENT_ID" ]; then
             echo "ready=true" >> "$GITHUB_OUTPUT"
           else
             echo "ready=false" >> "$GITHUB_OUTPUT"
@@ -68,6 +72,9 @@ jobs:
         with:
           azcliversion: latest
           inlineScript: |
+            # 응답 JSON 에 리소스 생성자 이메일(createdBy, PII)·ACA 아웃바운드 IP 가 섞여
+            # 공개 CI 로그에 남는다. 배포 성패는 종료코드로만 판단하므로 출력을 끈다(-o none).
             az containerapp update \
               -n "${{ env.CONTAINER_APP }}" -g "${{ env.RESOURCE_GROUP }}" \
-              --image "${{ env.IMAGE }}:${{ github.sha }}"
+              --image "${{ env.IMAGE }}:${{ github.sha }}" \
+              -o none