fix(ci): tolerate services:/container: so real workflows trigger

[zoetaka38]

Found by pushing the real Corevice/open-git repo to a self-hosted instance: its ci.yml (and any workflow using services:) never triggered.

The parser declared Job.Services as map[string]string and Job.Container as string, but GitHub's services.<id> is always a mapping (image/env/ports/options) and container may be a mapping too. Decoding failed with cannot unmarshal !!map into string, so ParseWorkflow errored and the trigger silently skipped the whole workflow — it never ran.

These fields aren't executed by our simplified runner, so capture them as raw yaml.Node instead of rejecting them. All eight real open-git workflows now parse (previously ci.yml and any with services did not). Regression test added.

[orange-codens]

🍊 Orange Codens レビュー

サービス/コンテナフィールドを yaml.Node に変更してパース失敗を解消する修正は、本件の根幹として適切。ただしテストが container: のマッピング形式のみをカバーしており、PR 本文が示すスカラー形式 (container: ubuntu:20.04) へのテストが不足しているのが主な指摘点。

🔒 セキュリティ: 本 PR はワークフローパーサーの堅牢性を改善する修正です。Container および Services フィールドの型を yaml.Node に変更している箇所は、該当フィールドが「実行されないため raw capture するだけ」と明示されており、攻撃 surface は増加しません。入力検証・暗号・認可・SSRF 等に起因する脆弱性は見当たりません。

🟡 medium: 1 / ⚪ info: 1

その他の指摘 (2 件)

• 🟡 [medium] backend/internal/infrastructure/workflow/parser_test.go:53 — TestParseWorkflowWithServicesAndContainer が container: のスカラー形式をテストしていない (confidence: 0.75, maintain.test_coverage.incomplete)
• ⚪ [info] backend/internal/infrastructure/workflow/parser.go:40 — Job.Container / Job.Services の型変更が他ファイルへの波及影響を diff だけでは検証不能 (confidence: 0.40, code.type_breaking_change.unverified_consumers)

_{head: 45d523c | 🍊 Reviewed by Orange Codens — AI code review & security audit}