sudo install -d -o act_runner -g act_runner -m 700 /var/lib/act_runner/cache/vuln-bsi
sudo apt update && sudo apt install -y git python3 util-linux ca-certificates

Actions aktivieren, Runner-Label vuln-runner bereitstellen und Workflow manuell starten.
Der Gitea-Job-Token wird über secrets.GITEA_TOKEN verwendet. permissions: contents: write muss auf der Instanz unterstützt und erlaubt sein.

Automatisch: 23 */4 * * * (UTC). Ein vollständiger Erstlauf kann eine längere Zeit und einige GB Git-Speicher benötigen.

Datenstruktur

data/index.txt: unveränderter offizieller Index
data/csaf/YYYY/*.json: vollständige CSAF-Rohdateien
state/sync.json: Verzeichnisliste, Prüf-Cursor, letzter erfolgreicher Lauf

Synchronisationslogik

Bei Erstlauf alle Einträge ab 2017 herunterladen.
Später neue und fehlende Dateien sowie 300 rotierende Altdateien abrufen; Änderungen werden an den Datei-Inhalten erkannt.
Dateien, die aus dem Index verschwinden, erst nach vollständigem erfolgreichem Abruf entfernen.
Index, Dateiinhalte und Synchronisationsstatus validieren, dann Commit und Push.
Kein komplett neuer Git-Checkout bei jedem Lauf: permanenter Checkout unter /var/lib/act_runner/cache/vuln-bsi/repo.

Einschränkungen

Geänderte ältere Dokumente werden erst beim rotierenden Prüflauf erkannt. changes.csv wird aktuell nicht interpretiert; für schnellere Updates kann diese Quelle später ergänzt werden.
Nach einem abgebrochenen Lauf bleibt das Arbeitsverzeichnis bewusst unverändert und muss geprüft werden, bevor ein weiterer Lauf startet. Das verhindert versehentliche Datenverluste.
Ein Git-Index mit vielen Rohdaten kann erhebliche Größe erreichen.
Der Runner arbeitet direkt auf der Gitea-VM. Nur vertrauenswürdige Workflows verwenden.
Ein vollständiger Live-Abruf ist noch nicht verifiziert.

Manuell lokal synchronisieren

python3 scripts/sync.py --since-year 2017 --full
python3 scripts/validate.py