Sobald eine Compliance-Prüfung für jeden Pull Request ausgeführt wird, stellt sich die Frage, wie mit dem Ergebnis umgegangen werden soll: Soll sie den Merge blockieren oder nur den Reviewer informieren? Die ehrliche Antwort lautet: Es kommt auf den Befund an. Der Mechanismus sollte Ihnen die Wahl lassen, anstatt eine einzige Haltung für alles vorzugeben.
Blockierend versus beratend
Ein Status-Check, der jeden Merge bei jedem Befund blockiert, führt dazu, dass Nutzer ihn einfach übergehen. Ein Check, der nie blockiert, wird ignoriert. Der sinnvolle Mittelweg ist: standardmäßig beratend, mit der Option, ihn über Branch Protection für Änderungen oder Repositories verbindlich zu machen, bei denen ein übersehener Control besonders kostspielig wäre – etwa bei Änderungen an Zugriffskontrollen, Kryptografie oder personenbezogenen Daten.
Die Entscheidung liegt bei Ihnen, nicht beim Tool. Ein Compliance-Reviewer sollte den Befund anzeigen und Ihre Branch-Protection-Richtlinie darüber entscheiden lassen, ob er den Merge blockiert.
Wie heygrc Ergebnisse anzeigt
heygrc ist so konzipiert, dass es einen GitHub-Check-Status zusammen mit seinen Review-Kommentaren postet. Dieser Status kann optional über Branch Protection als verbindlich festgelegt werden, wenn Sie eine harte Sperre wünschen, oder als beratend belassen werden, wenn der Befund sichtbar sein soll, ohne zu blockieren. Die beabsichtigte Standardeinstellung ist ein neutraler Check plus Kommentare, sodass er informiert, ohne zu unterbrechen – es sei denn, Sie entscheiden sich anders.
Das Ziel ist ein Check, der sich wie eine gute Testsuite verhält: vertrauenswürdig genug, dass ein rotes Ergebnis etwas bedeutet, aber so kalibriert, dass er nicht falschen Alarm schlägt.