fix(ci): uppdatera security-workflow till kanonisk mall (volymscan + låsfils-guard)

.gitea/workflows/security.yml

@@ -12,7 +12,8 @@ name: security
 #      Semgreps docker-wrapper kräver koden på /src och ger annars exit 2
 #      ("Detected Docker environment without a code volume").
 #   3. actions/@v4 är en muterbar tag som Semgrep-regeln
-#      github-actions-mutable-action-tag fäller.
+#      github-actions-mutable-action-tag fäller; åtgärden pinnar samma SHA som
+#      repots övriga jobb använder.
 # Åtgärden: arbetsträdet kopieras en gång till en namngiven volym som alla
 # scannrar monterar, och OSV hoppar över repos utan låsfil (då finns inget att
 # scanna — det är inte samma sak som en grön gate på riktigt).
@@ -66,13 +67,10 @@ jobs:
       # osv-scanner.toml själv, så den skickas explicit när den finns.
       - name: OSV Scanner
         run: |
-          # Katalogen finns bara i volymen, inte i jobbcontainern — därför körs
-          # sökningen i en container som monterar volymen.
-          if ! docker run --rm -v "$SCAN_VOLUME:/repo" alpine:3.20 sh -c \
-               "find /repo -maxdepth 3 \( -name 'pnpm-lock.yaml' -o -name 'package-lock.json' \
-                -o -name 'yarn.lock' -o -name 'poetry.lock' -o -name 'Pipfile.lock' \
-                -o -name 'requirements.txt' -o -name 'go.sum' -o -name 'Cargo.lock' \
-                -o -name 'composer.lock' -o -name 'Gemfile.lock' \) -print -quit | grep -q ."; then
+          if ! find /repo -maxdepth 3 \( -name 'pnpm-lock.yaml' -o -name 'package-lock.json' \
+               -o -name 'yarn.lock' -o -name 'poetry.lock' -o -name 'Pipfile.lock' \
+               -o -name 'requirements.txt' -o -name 'go.sum' -o -name 'Cargo.lock' \
+               -o -name 'composer.lock' -o -name 'Gemfile.lock' \) -print -quit | grep -q .; then
             echo "Inga låsfiler i repot — OSV-Scanner har inget att scanna."
             exit 0
           fi