Merge pull request 'fix(ci): quitar anchors/aliases YAML de build.yaml' (#20) from fix/build-yaml-anchor-not-supported into main

.gitea/workflows/build.yaml

@@ -285,27 +285,6 @@ jobs:
             --exit-code 0 \
             "${MANIFEST_FILE}"
 
-      # Instalado directo con pip (no como container aparte): el runner de
-      # Gitea ejecuta cada job ya dentro de un contenedor propio que habla
-      # con el daemon Docker del host (sibling containers) -- un
-      # `docker run -v "${{ github.workspace }}:/src"` desde acá intenta
-      # montar una ruta que solo existe DENTRO del contenedor del job, no
-      # en el host real, y falla con "read-only file system". Evitamos por
-      # completo el problema corriendo Semgrep nativo, igual que
-      # gitleaks/trivy/syft/cosign.
-      # venv en vez de "pip3 install --break-system-packages": la imagen del
-      # runner ya trae paquetes de Python instalados por apt (ej. PyJWT)
-      # sin metadata compatible con pip, y pip aborta al intentar
-      # reemplazarlos ("RECORD file not found"). Un venv aislado evita
-      # tocar los paquetes del sistema por completo.
-      - name: Instalar Semgrep
-        shell: bash
-        run: |
-          set -euo pipefail
-          python3 -m venv /tmp/semgrep-venv
-          /tmp/semgrep-venv/bin/pip install --quiet "semgrep==1.173.0"
-          /tmp/semgrep-venv/bin/semgrep --version
-
       # Modo auditoría: sin --error a propósito, Semgrep siempre termina
       # con exit 0 aunque reporte hallazgos. Es la primera vuelta — se
       # revisan los resultados en conjunto antes de decidir qué reglas
@@ -314,17 +293,27 @@ jobs:
         shell: bash
         run: |
           set -euo pipefail
-          /tmp/semgrep-venv/bin/semgrep scan \
-            --config=p/typescript \
-            --config=p/react \
-            --config=p/nextjs \
-            --config=p/security-audit \
-            --json \
-            --output=semgrep-report.json \
-            "${APP_DIR}"
+          SEMGREP_IMAGE="semgrep/semgrep:1.173.0"
+
+          docker run --rm \
+            -v "${{ github.workspace }}:/src" \
+            -w /src \
+            "${SEMGREP_IMAGE}" \
+            semgrep scan \
+              --config=p/typescript \
+              --config=p/react \
+              --config=p/nextjs \
+              --config=p/security-audit \
+              --json \
+              --output=semgrep-report.json \
+              "${APP_DIR}"
 
           echo "=== Resumen Semgrep ==="
-          /tmp/semgrep-venv/bin/python -c "
+          docker run --rm \
+            -v "${{ github.workspace }}:/src" \
+            -w /src \
+            "${SEMGREP_IMAGE}" \
+            python3 -c "
           import json
           data = json.load(open('semgrep-report.json'))
           results = data.get('results', [])