Merge pull request 'fix(ci): quitar anchors/aliases YAML de build.yaml' (#20) from fix/build-yaml-anchor-not-supported into main

.gitea/workflows/build.yaml

@@ -285,27 +285,6 @@ jobs:
             --exit-code 0 \
             "${MANIFEST_FILE}"
 
-      # Instalado directo con pip (no como container aparte): el runner de
-      # Gitea ejecuta cada job ya dentro de un contenedor propio que habla
-      # con el daemon Docker del host (sibling containers) -- un
-      # `docker run -v "${{ github.workspace }}:/src"` desde acá intenta
-      # montar una ruta que solo existe DENTRO del contenedor del job, no
-      # en el host real, y falla con "read-only file system". Evitamos por
-      # completo el problema corriendo Semgrep nativo, igual que
-      # gitleaks/trivy/syft/cosign.
-      # venv en vez de "pip3 install --break-system-packages": la imagen del
-      # runner ya trae paquetes de Python instalados por apt (ej. PyJWT)
-      # sin metadata compatible con pip, y pip aborta al intentar
-      # reemplazarlos ("RECORD file not found"). Un venv aislado evita
-      # tocar los paquetes del sistema por completo.
-      - name: Instalar Semgrep
-        shell: bash
-        run: |
-          set -euo pipefail
-          python3 -m venv /tmp/semgrep-venv
-          /tmp/semgrep-venv/bin/pip install --quiet "semgrep==1.173.0"
-          /tmp/semgrep-venv/bin/semgrep --version
-
       # Modo auditoría: sin --error a propósito, Semgrep siempre termina
       # con exit 0 aunque reporte hallazgos. Es la primera vuelta — se
       # revisan los resultados en conjunto antes de decidir qué reglas
@@ -314,7 +293,13 @@ jobs:
         shell: bash
         run: |
           set -euo pipefail
-          /tmp/semgrep-venv/bin/semgrep scan \
+          SEMGREP_IMAGE="semgrep/semgrep:1.173.0"
+
+          docker run --rm \
+            -v "${{ github.workspace }}:/src" \
+            -w /src \
+            "${SEMGREP_IMAGE}" \
+            semgrep scan \
               --config=p/typescript \
               --config=p/react \
               --config=p/nextjs \
@@ -324,7 +309,11 @@ jobs:
               "${APP_DIR}"
 
           echo "=== Resumen Semgrep ==="
-          /tmp/semgrep-venv/bin/python -c "
+          docker run --rm \
+            -v "${{ github.workspace }}:/src" \
+            -w /src \
+            "${SEMGREP_IMAGE}" \
+            python3 -c "
           import json
           data = json.load(open('semgrep-report.json'))
           results = data.get('results', [])