apisix의 keycloak-authz 커스텀 태그를 published.json 표준 경로 예외로 반영한다

apisix에 얹는 keycloak-authz 커스텀 플러그인 오버레이는 hardened-containers
표준 파이프라인 밖에서 별도로 빌드돼 같은 리포지토리에 -keycloak-authz 접미사를
붙여 추가로 push된다. published.json에는 이 접미사 태그가 절대 안 잡혀서,
apply-published-tags.py가 무필터로 ref를 그대로 적용하는 지금 방식으로는
카탈로그가 순정(keycloak-authz 없는) 태그를 가리키게 되는 실질적 회귀가 있었다
(manifests/helm/apisix/2.17.0/custom-values.yaml이 실제로 이 상태였다).

scripts/build/resolve-apisix-keycloak-authz-tag.py를 새로 만들어
apply-published-tags.py가 읽기 전에 published.json 사본의 apisix 항목을
제자리에서 고쳐 쓴다 — base 태그에 -keycloak-authz 버전이 실제로 있으면 그걸로
교체하고, 없으면 apisix 항목 자체를 지워 표준 "없다" 분기가 자연히 건너뛰게
한다(순정 태그로 되돌리는 일은 없다). apply-published-tags.py는 한 줄도
안 건드렸다.

catalog-tag-update.yml에 이 전처리를 한 스텝만 끼워 넣고, 즉시 1회 실행해
2.17.0의 회귀를 이 커밋에서 바로 고쳤다(3.18.0-security-hardened-20260826 →
...-keycloak-authz).

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

.github/workflows/catalog-tag-update.yml

@@ -43,6 +43,15 @@ jobs:
             -o /tmp/published.json
           python3 -c "import json; json.load(open('/tmp/published.json'))"  # 스키마 최소 확인
 
+      # apisix에 얹는 keycloak-authz 커스텀 플러그인 오버레이는 hardened-containers
+      # 표준 파이프라인 밖에서 별도로 빌드돼 같은 리포지토리에 -keycloak-authz 접미사로
+      # 추가 push된다 — published.json에는 이 접미사 태그가 절대 안 잡힌다. 이 스텝이
+      # /tmp/published.json의 apisix 항목을 제자리에서 고쳐, 아래 "반영 대상 계산"이
+      # 그걸 원래 발행된 태그인 것처럼 그대로 적용하게 한다. 상세:
+      # scripts/build/resolve-apisix-keycloak-authz-tag.py 모듈 docstring.
+      - name: apisix keycloak-authz 변형 확인
+        run: python3 scripts/build/resolve-apisix-keycloak-authz-tag.py --published /tmp/published.json
+
       - name: 반영 대상 계산
         id: apply
         run: |