Trivy IaC ahora escanea el output real de kubectl kustomize en vez del patch aislado (evita falsos positivos heredados del base de platform-templates).
readOnlyRootFilesystem pasa a true en el frontend, con emptyDir para .next/cache y /tmp (Next.js escribe cache de imagenes optimizadas + revalidateTag en runtime).
Test plan
Verificar pipeline Build and Push Frontend en verde
Confirmar shop.cruzcloud.net responde 200 tras el deploy
Revisar logs del pod por errores de escritura a disco
## Resumen
- Trivy IaC ahora escanea el output real de kubectl kustomize en vez del patch aislado (evita falsos positivos heredados del base de platform-templates).
- readOnlyRootFilesystem pasa a true en el frontend, con emptyDir para .next/cache y /tmp (Next.js escribe cache de imagenes optimizadas + revalidateTag en runtime).
## Test plan
- [ ] Verificar pipeline Build and Push Frontend en verde
- [ ] Confirmar shop.cruzcloud.net responde 200 tras el deploy
- [ ] Revisar logs del pod por errores de escritura a disco
- Trivy IaC escaneaba solo el patch aislado de Kustomize
(workloads/ecommerce/frontend/patches/deployment.yaml), no lo que
realmente corre en el clúster. Eso generaba falsos positivos en todo
lo heredado del base remoto de platform-templates (runAsNonRoot,
seccompProfile) porque el patch nunca los repite. Se instala kubectl,
se renderiza el kustomization completo y se escanea ese output.
- readOnlyRootFilesystem pasa de false a true en el contenedor del
frontend: revisando next.config.ts (optimización de imágenes) y
app/api/revalidate/route.ts (revalidateTag sin cache handler custom),
la imagen sí escribe a ./.next/cache en runtime. Se agregan volúmenes
emptyDir para .next/cache y /tmp.
devops
merged commit 7485457cf4 into main2026-08-25 01:36:37 +00:00
Blocking a user prevents them from interacting with repositories, such as opening or commenting on pull requests or issues. Learn more about blocking a user.
Resumen
Test plan