Block slop on every PR.
Prose and code, no inference cost.

Add it in ~5 lines — one check per pull request:

name: slop-gate
on: [pull_request]
jobs:
  slop:
    runs-on: ubuntu-latest
    permissions:
      contents: read
      # ZÉRO SECRET : GitHub prouve ce repo par OIDC → le Firewall résout ton entitlement côté serveur. Rien à roter.
      id-token: write
      # Le Firewall poste le verdict comme commentaire sticky sur le PR (résumé + fuites cliquables, mis à jour en place) — écriture des PR requise. Absent → il skip proprement.
      pull-requests: write
      # Envoie les findings vers l'onglet Security (Code Scanning : annotations inline PR, suivies + dismissibles, gratuit sur repo public). Absent → il skip proprement.
      security-events: write
    steps:
      - uses: actions/checkout@v4
        with: { fetch-depth: 0 }
      # En PROD, épingle un SHA de commit plutôt que le tag (un tag peut être re-pointé, un SHA non) — voir le README de l'Action.
      - uses: maxor-tech/slopgrade-firewall@v0.7.7
        with:
          # gate = bloque sur une fuite cross-tenant OU un finding sécu critique/haut quand le repo est entitled
          # (public/gratuit : le gate cross-tenant bloque ; un slot payant fait bloquer les 10 classes sur repo privé + chaque finding en file:line). advisory = signale, ne bloque jamais.
          firewall-mode: gate