security(codeql): Advanced Setup fuer C# (build-mode manual)

[tomtastisch]

Ziel & Scope

Fixes #58: CodeQL fuer language:csharp soll nicht mehr mit build-mode: none laufen, sondern einen realen .NET-Build ausfuehren, damit die Extraktion/Analysequalitaet stabil ueber den Schwellenwerten liegt.

Non-Goals:

• Keine inhaltlichen Code-Aenderungen am Produktcode.
• Keine Aenderungen an SECURITY.md.

Umgesetzte Aufgaben (abhaken)

• Advanced CodeQL Workflow hinzugefuegt (.github/workflows/codeql.yml).
• build-mode: manual konfiguriert (explizit, nicht none).
• Traced Build via dotnet restore + dotnet build -c Release ueber FileClassifier.sln implementiert.
• Actions/Dependencies SHA-gepinnt und least-privilege Permissions gesetzt.

Nachbesserungen aus Review (iterativ)

• (falls Review Hinweise liefert) Workflow/Build-Schritte so anpassen, dass CodeQL-Extraktion vollstaendig ist.
• (falls Review Hinweise liefert) Query-Set/Category feinjustieren.

Security- und Merge-Gates

• Required Checks: alle required Checks in PR security(codeql): Advanced Setup fuer C# (build-mode manual) #61 sind gruen.
• Code scanning: security/code-scanning/tools zeigt 0 offene Alerts.
• Keine Branch-Protection/Ruleset-Verletzungen.

Evidence (auditierbar)

Lokal:

• bash tools/ci/bin/run.sh preflight -> /Users/tomwerner/RiderProjects/FileClassifier/artifacts/ci/preflight/summary.md
• bash tools/ci/bin/run.sh build -> /Users/tomwerner/RiderProjects/FileClassifier/artifacts/ci/build/summary.md
• bash tools/ci/bin/run.sh tests-bdd-coverage -> /Users/tomwerner/RiderProjects/FileClassifier/artifacts/ci/tests-bdd-coverage/summary.md

CI (PR #61):

• CodeQL Workflow Run: 22021055053 (Job: Analyze (csharp))
• CI Workflow Run (inkl. preflight/pr-governance): 22021055059

DoD (mindestens 2 pro Punkt)

• Punkt: CodeQL Advanced Setup fuer C# (manual build)
• DoD 1: Workflow ist least-privilege und SHA-gepinnt (auditierbar in .github/workflows/codeql.yml).
• DoD 2: Lokale Build+Tests sind gruen (auditierbar in artifacts/ci/build/summary.md und artifacts/ci/tests-bdd-coverage/summary.md).

[Copilot]

Pull request overview

Adds a dedicated CodeQL Advanced Setup workflow for C# that performs a real traced .NET build (manual build-mode) to improve CodeQL extraction quality and address the “build-mode: none / low analysis quality” warning.

Changes:

• Introduces .github/workflows/codeql.yml to run CodeQL for language:csharp with build-mode: manual.
• Adds traced dotnet restore + dotnet build for FileClassifier.sln prior to analysis.

---

💡 Add Copilot custom instructions for smarter, more guided reviews. Learn how to get started.