@ship.zone/ci-spec 2.1.0 → 2.1.2

package/conformance/compile-cases.json

@@ -1085,6 +1085,204 @@
         "code": "workflow_yaml_syntax"
       }
     },
+    {
+      "id": "yaml-character-c0-control-comment",
+      "description": "A comment holds U+0007 (BEL): YAML 1.2 allows no C0 control character but tab, line feed, and carriage return.",
+      "workflow": {
+        "source": "spec: 2.0.0 # \u0007\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\njobs:\n  test:\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - test\n"
+      },
+      "isolated": true,
+      "expected": {
+        "outcome": "failed",
+        "code": "workflow_yaml_syntax"
+      }
+    },
+    {
+      "id": "yaml-character-c0-control-quoted",
+      "description": "A double-quoted scalar holds a raw U+001B (ESC): not even a quoted scalar allows a C0 control character.",
+      "workflow": {
+        "source": "spec: 2.0.0\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\njobs:\n  test:\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - \"te\u001bst\"\n"
+      },
+      "isolated": true,
+      "expected": {
+        "outcome": "failed",
+        "code": "workflow_yaml_syntax"
+      }
+    },
+    {
+      "id": "yaml-character-delete-plain",
+      "description": "A plain scalar holds U+007F (DEL), which only a quoted scalar allows.",
+      "workflow": {
+        "source": "spec: 2.0.0\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\njobs:\n  test:\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - te\u007fst\n"
+      },
+      "isolated": true,
+      "expected": {
+        "outcome": "failed",
+        "code": "workflow_yaml_syntax"
+      }
+    },
+    {
+      "id": "yaml-character-c1-control-block",
+      "description": "A block scalar holds U+009B, a C1 control character, which only a quoted scalar allows.",
+      "workflow": {
+        "source": "spec: 2.0.0\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\njobs:\n  test:\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - |\n            te\u009bst\n"
+      },
+      "isolated": true,
+      "expected": {
+        "outcome": "failed",
+        "code": "workflow_yaml_syntax"
+      }
+    },
+    {
+      "id": "yaml-character-fffe-plain",
+      "description": "A plain scalar holds U+FFFE, which only a quoted scalar allows.",
+      "workflow": {
+        "source": "spec: 2.0.0\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\njobs:\n  test:\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - te\ufffest\n"
+      },
+      "isolated": true,
+      "expected": {
+        "outcome": "failed",
+        "code": "workflow_yaml_syntax"
+      }
+    },
+    {
+      "id": "yaml-character-ffff-comment",
+      "description": "A comment holds U+FFFF, which only a quoted scalar allows.",
+      "workflow": {
+        "source": "spec: 2.0.0 # \uffff\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\njobs:\n  test:\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - test\n"
+      },
+      "isolated": true,
+      "expected": {
+        "outcome": "failed",
+        "code": "workflow_yaml_syntax"
+      }
+    },
+    {
+      "id": "yaml-byte-order-mark-in-plain-scalar",
+      "description": "A plain scalar holds U+FEFF: outside a quoted scalar it is only a byte order mark at the start of a line.",
+      "workflow": {
+        "source": "spec: 2.0.0\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\njobs:\n  test:\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - te\ufeffst\n"
+      },
+      "isolated": true,
+      "expected": {
+        "outcome": "failed",
+        "code": "workflow_yaml_syntax"
+      }
+    },
+    {
+      "id": "yaml-byte-order-mark-in-comment",
+      "description": "A comment holds U+FEFF.",
+      "workflow": {
+        "source": "spec: 2.0.0 # \ufeff\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\njobs:\n  test:\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - test\n"
+      },
+      "isolated": true,
+      "expected": {
+        "outcome": "failed",
+        "code": "workflow_yaml_syntax"
+      }
+    },
+    {
+      "id": "yaml-byte-order-mark-within-document",
+      "description": "The line of the jobs key begins with U+FEFF, which is a byte order mark only before the document begins or after a document end marker.",
+      "workflow": {
+        "source": "spec: 2.0.0\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\n\ufeffjobs:\n  test:\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - test\n"
+      },
+      "expected": {
+        "outcome": "failed",
+        "code": "workflow_yaml_syntax"
+      }
+    },
+    {
+      "id": "yaml-escape-lone-high-surrogate",
+      "description": "The escape \\uD800 without a following low surrogate escape.",
+      "workflow": {
+        "source": "spec: 2.0.0\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\njobs:\n  test:\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - \"te\\uD800st\"\n"
+      },
+      "isolated": true,
+      "expected": {
+        "outcome": "failed",
+        "code": "workflow_yaml_syntax"
+      }
+    },
+    {
+      "id": "yaml-escape-lone-low-surrogate",
+      "description": "The escape \\uDC00 without a preceding high surrogate escape.",
+      "workflow": {
+        "source": "spec: 2.0.0\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\njobs:\n  test:\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - \"te\\uDC00st\"\n"
+      },
+      "isolated": true,
+      "expected": {
+        "outcome": "failed",
+        "code": "workflow_yaml_syntax"
+      }
+    },
+    {
+      "id": "yaml-escape-surrogate-long-form",
+      "description": "A surrogate pair written as \\U escapes; only \\u escapes form a pair.",
+      "workflow": {
+        "source": "spec: 2.0.0\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\njobs:\n  test:\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - \"\\U0000D83D\\U0000DE00\"\n"
+      },
+      "isolated": true,
+      "expected": {
+        "outcome": "failed",
+        "code": "workflow_yaml_syntax"
+      }
+    },
+    {
+      "id": "yaml-depth-at-limit",
+      "description": "Collections nested 64 deep pass the YAML layer; no schema-valid workflow nests deeper than 8.",
+      "workflow": {
+        "source": "spec: 2.0.0\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\njobs:\n  test:\n    matrix:\n      value: [[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[a]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - test\n"
+      },
+      "expected": {
+        "outcome": "failed",
+        "code": "workflow_schema_invalid"
+      }
+    },
+    {
+      "id": "yaml-depth-above-limit",
+      "description": "A collection of depth 65.",
+      "workflow": {
+        "source": "spec: 2.0.0\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\njobs:\n  test:\n    matrix:\n      value: [[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[a]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - test\n"
+      },
+      "expected": {
+        "outcome": "failed",
+        "code": "workflow_yaml_syntax"
+      }
+    },
+    {
+      "id": "yaml-document-end-marker-only",
+      "description": "A document end marker begins no document.",
+      "workflow": {
+        "source": "...\n"
+      },
+      "expected": {
+        "outcome": "failed",
+        "code": "workflow_yaml_document_count"
+      }
+    },
+    {
+      "id": "yaml-two-directives-end-markers",
+      "description": "Each --- begins a document, so the file has two empty documents.",
+      "workflow": {
+        "source": "---\n---\n"
+      },
+      "expected": {
+        "outcome": "failed",
+        "code": "workflow_yaml_document_count"
+      }
+    },
+    {
+      "id": "yaml-empty-explicit-document",
+      "description": "A --- marker with only a comment is one empty document, whose null value fails the schema.",
+      "workflow": {
+        "source": "--- # empty\n"
+      },
+      "expected": {
+        "outcome": "failed",
+        "code": "workflow_schema_invalid"
+      }
+    },
     {
       "id": "number-positive-infinity",
       "workflow": {
@@ -1371,6 +1569,17 @@
         "code": "environment_limit_exceeded"
       }
     },
+    {
+      "id": "workflow-command-argument-above-limit",
+      "description": "An argument of 8,193 characters and 16,385 UTF-8 bytes: within the schema, above the argument limit.",
+      "workflow": {
+        "source": "spec: 2.0.0\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\njobs:\n  test:\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - ééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééa\n"
+      },
+      "expected": {
+        "outcome": "failed",
+        "code": "command_limit_exceeded"
+      }
+    },
     {
       "id": "workflow-artifact-name-repeated",
       "workflow": {
@@ -1473,9 +1682,10 @@
       }
     },
     {
-      "id": "trigger-branch-not-matched",
+      "id": "workflow-transfer-names-per-kind",
+      "description": "An artifact and a cache of one job are both named results: artifacts and caches are separate name spaces. The workflow passes the workflow layer; the job's default timeout of 3,600,000 then exceeds the deployment maximum.",
       "workflow": {
-        "fixture": "conformance/ci-actions/valid/minimal.yml"
+        "source": "spec: 2.0.0\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: write\n  caches: read-write\n  images: none\n  npm: none\n  releaseAssets: none\njobs:\n  test:\n    artifacts:\n      - name: results\n        path: results\n        when: always\n        required: false\n        maximumBytes: 1048576\n        maximumExtractedBytes: 4194304\n        maximumEntries: 100\n    caches:\n      - name: results\n        key: results\n        access: read-write\n        paths:\n          - .cache\n        maximumBytes: 1048576\n        maximumExtractedBytes: 4194304\n        maximumEntries: 100\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - test\n"
       },
       "context": {
         "repository": {
@@ -1493,7 +1703,7 @@
         },
         "trigger": {
           "kind": "push",
-          "ref": "refs/heads/feature"
+          "ref": "refs/heads/main"
         },
         "trustClass": "trusted",
         "protectedTagRun": false,
@@ -1509,16 +1719,19 @@
           "maximumWorkspaceBytes": 268435456,
           "maximumWorkspaceEntries": 100000
         },
-        "ociIsolation": "container"
+        "ociIsolation": "container",
+        "maximumTimeoutMs": 1800000
       },
       "expected": {
-        "outcome": "not-triggered"
+        "outcome": "failed",
+        "code": "policy_timeout_exceeded"
       }
     },
     {
-      "id": "trigger-kind-not-declared",
+      "id": "workflow-expansion-limit-assembly-node",
+      "description": "31 by 8 matrix combinations and 8 build platforms are 256 expanded jobs; the assembly node of the build job is a 257th node and does not count. The workflow passes the workflow layer; the job's default timeout of 3,600,000 then exceeds the deployment maximum.",
       "workflow": {
-        "fixture": "conformance/ci-actions/valid/minimal.yml"
+        "source": "spec: 2.0.0\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: candidate\n  npm: none\n  releaseAssets: none\njobs:\n  image:\n    runner:\n      profile: oci-image\n      labels:\n        - builder\n    build:\n      context: .\n      dockerfile: Dockerfile\n      platforms:\n        - linux/amd64\n        - linux/arm64\n        - linux/arm/v7\n        - linux/arm/v6\n        - linux/386\n        - linux/ppc64le\n        - linux/s390x\n        - linux/riscv64\n  test:\n    matrix:\n      a: [0, 1, 2, 3, 4, 5, 6, 7, 8, 9, 10, 11, 12, 13, 14, 15, 16, 17, 18, 19, 20, 21, 22, 23, 24, 25, 26, 27, 28, 29, 30]\n      b: [0, 1, 2, 3, 4, 5, 6, 7]\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - test\n"
       },
       "context": {
         "repository": {
@@ -1535,8 +1748,8 @@
           "entryCount": 4
         },
         "trigger": {
-          "kind": "tag",
-          "ref": "refs/tags/v1.0.0"
+          "kind": "push",
+          "ref": "refs/heads/main"
         },
         "trustClass": "trusted",
         "protectedTagRun": false,
@@ -1552,16 +1765,52 @@
           "maximumWorkspaceBytes": 268435456,
           "maximumWorkspaceEntries": 100000
         },
-        "ociIsolation": "container"
+        "ociIsolation": "container",
+        "maximumTimeoutMs": 1800000
       },
       "expected": {
-        "outcome": "not-triggered"
+        "outcome": "failed",
+        "code": "policy_timeout_exceeded"
       }
     },
     {
-      "id": "trigger-manual-not-declared",
+      "id": "workflow-expansion-limit-build-platforms",
+      "description": "31 by 8 matrix combinations, 8 build platforms, and 1 job are 257 expanded jobs: per-platform build jobs count.",
       "workflow": {
-        "fixture": "conformance/ci-actions/valid/minimal.yml"
+        "source": "spec: 2.0.0\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: candidate\n  npm: none\n  releaseAssets: none\njobs:\n  image:\n    runner:\n      profile: oci-image\n      labels:\n        - builder\n    build:\n      context: .\n      dockerfile: Dockerfile\n      platforms:\n        - linux/amd64\n        - linux/arm64\n        - linux/arm/v7\n        - linux/arm/v6\n        - linux/386\n        - linux/ppc64le\n        - linux/s390x\n        - linux/riscv64\n  lint:\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - test\n  test:\n    matrix:\n      a: [0, 1, 2, 3, 4, 5, 6, 7, 8, 9, 10, 11, 12, 13, 14, 15, 16, 17, 18, 19, 20, 21, 22, 23, 24, 25, 26, 27, 28, 29, 30]\n      b: [0, 1, 2, 3, 4, 5, 6, 7]\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - test\n"
+      },
+      "expected": {
+        "outcome": "failed",
+        "code": "expansion_limit_exceeded"
+      }
+    },
+    {
+      "id": "workflow-environment-limit-names-counted-once",
+      "description": "100 workflow names and 25 step names, NPM_CONFIG_USERCONFIG declared in the step, and the 2 reserved step names are 128 names in a job with npmRead: the declared reserved name counts once, so the limit holds and the step fails npm_read_invalid.",
+      "workflow": {
+        "source": "spec: 2.0.0\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\nenvironment:\n  W000: w\n  W001: w\n  W002: w\n  W003: w\n  W004: w\n  W005: w\n  W006: w\n  W007: w\n  W008: w\n  W009: w\n  W010: w\n  W011: w\n  W012: w\n  W013: w\n  W014: w\n  W015: w\n  W016: w\n  W017: w\n  W018: w\n  W019: w\n  W020: w\n  W021: w\n  W022: w\n  W023: w\n  W024: w\n  W025: w\n  W026: w\n  W027: w\n  W028: w\n  W029: w\n  W030: w\n  W031: w\n  W032: w\n  W033: w\n  W034: w\n  W035: w\n  W036: w\n  W037: w\n  W038: w\n  W039: w\n  W040: w\n  W041: w\n  W042: w\n  W043: w\n  W044: w\n  W045: w\n  W046: w\n  W047: w\n  W048: w\n  W049: w\n  W050: w\n  W051: w\n  W052: w\n  W053: w\n  W054: w\n  W055: w\n  W056: w\n  W057: w\n  W058: w\n  W059: w\n  W060: w\n  W061: w\n  W062: w\n  W063: w\n  W064: w\n  W065: w\n  W066: w\n  W067: w\n  W068: w\n  W069: w\n  W070: w\n  W071: w\n  W072: w\n  W073: w\n  W074: w\n  W075: w\n  W076: w\n  W077: w\n  W078: w\n  W079: w\n  W080: w\n  W081: w\n  W082: w\n  W083: w\n  W084: w\n  W085: w\n  W086: w\n  W087: w\n  W088: w\n  W089: w\n  W090: w\n  W091: w\n  W092: w\n  W093: w\n  W094: w\n  W095: w\n  W096: w\n  W097: w\n  W098: w\n  W099: w\njobs:\n  test:\n    network:\n      mode: egress\n      allow:\n        - host: 'npm.example.com'\n    npmRead:\n      - registry: https://npm.example.com\n        scopes:\n          - '@example'\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - test\n        environment:\n          S00: s\n          S01: s\n          S02: s\n          S03: s\n          S04: s\n          S05: s\n          S06: s\n          S07: s\n          S08: s\n          S09: s\n          S10: s\n          S11: s\n          S12: s\n          S13: s\n          S14: s\n          S15: s\n          S16: s\n          S17: s\n          S18: s\n          S19: s\n          S20: s\n          S21: s\n          S22: s\n          S23: s\n          S24: s\n          NPM_CONFIG_USERCONFIG: /tmp/npmrc\n"
+      },
+      "expected": {
+        "outcome": "failed",
+        "code": "npm_read_invalid"
+      }
+    },
+    {
+      "id": "workflow-environment-limit-npm-read",
+      "description": "100 workflow names, 24 step names, 2 secret targets, the 2 reserved step names, and NPM_CONFIG_USERCONFIG of a job with npmRead are 129 names.",
+      "workflow": {
+        "source": "spec: 2.0.0\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\nenvironment:\n  W000: w\n  W001: w\n  W002: w\n  W003: w\n  W004: w\n  W005: w\n  W006: w\n  W007: w\n  W008: w\n  W009: w\n  W010: w\n  W011: w\n  W012: w\n  W013: w\n  W014: w\n  W015: w\n  W016: w\n  W017: w\n  W018: w\n  W019: w\n  W020: w\n  W021: w\n  W022: w\n  W023: w\n  W024: w\n  W025: w\n  W026: w\n  W027: w\n  W028: w\n  W029: w\n  W030: w\n  W031: w\n  W032: w\n  W033: w\n  W034: w\n  W035: w\n  W036: w\n  W037: w\n  W038: w\n  W039: w\n  W040: w\n  W041: w\n  W042: w\n  W043: w\n  W044: w\n  W045: w\n  W046: w\n  W047: w\n  W048: w\n  W049: w\n  W050: w\n  W051: w\n  W052: w\n  W053: w\n  W054: w\n  W055: w\n  W056: w\n  W057: w\n  W058: w\n  W059: w\n  W060: w\n  W061: w\n  W062: w\n  W063: w\n  W064: w\n  W065: w\n  W066: w\n  W067: w\n  W068: w\n  W069: w\n  W070: w\n  W071: w\n  W072: w\n  W073: w\n  W074: w\n  W075: w\n  W076: w\n  W077: w\n  W078: w\n  W079: w\n  W080: w\n  W081: w\n  W082: w\n  W083: w\n  W084: w\n  W085: w\n  W086: w\n  W087: w\n  W088: w\n  W089: w\n  W090: w\n  W091: w\n  W092: w\n  W093: w\n  W094: w\n  W095: w\n  W096: w\n  W097: w\n  W098: w\n  W099: w\njobs:\n  test:\n    network:\n      mode: egress\n      allow:\n        - host: 'npm.example.com'\n    npmRead:\n      - registry: https://npm.example.com\n        scopes:\n          - '@example'\n    secrets:\n      - name: token-one\n        environment: TOKEN_ONE\n      - name: token-two\n        environment: TOKEN_TWO\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - test\n        environment:\n          S00: s\n          S01: s\n          S02: s\n          S03: s\n          S04: s\n          S05: s\n          S06: s\n          S07: s\n          S08: s\n          S09: s\n          S10: s\n          S11: s\n          S12: s\n          S13: s\n          S14: s\n          S15: s\n          S16: s\n          S17: s\n          S18: s\n          S19: s\n          S20: s\n          S21: s\n          S22: s\n          S23: s\n"
+      },
+      "expected": {
+        "outcome": "failed",
+        "code": "environment_limit_exceeded"
+      }
+    },
+    {
+      "id": "workflow-npm-read-registry-exact",
+      "description": "https://npm.example.com and https://npm.example.com/ are two registries: registries are compared as exact strings. The workflow passes the workflow layer; the job's default timeout of 3,600,000 then exceeds the deployment maximum.",
+      "workflow": {
+        "source": "spec: 2.0.0\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\njobs:\n  test:\n    network:\n      mode: egress\n      allow:\n        - host: 'npm.example.com'\n    npmRead:\n      - registry: https://npm.example.com\n        scopes:\n          - '@one'\n      - registry: https://npm.example.com/\n        scopes:\n          - '@two'\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - test\n"
       },
       "context": {
         "repository": {
@@ -1578,9 +1827,8 @@
           "entryCount": 4
         },
         "trigger": {
-          "kind": "manual",
-          "ref": "refs/heads/main",
-          "inputs": {}
+          "kind": "push",
+          "ref": "refs/heads/main"
         },
         "trustClass": "trusted",
         "protectedTagRun": false,
@@ -1596,16 +1844,19 @@
           "maximumWorkspaceBytes": 268435456,
           "maximumWorkspaceEntries": 100000
         },
-        "ociIsolation": "container"
+        "ociIsolation": "container",
+        "maximumTimeoutMs": 1800000
       },
       "expected": {
-        "outcome": "not-triggered"
+        "outcome": "failed",
+        "code": "policy_timeout_exceeded"
       }
     },
     {
-      "id": "trigger-star-stops-at-slash",
+      "id": "workflow-egress-wildcard-any-depth",
+      "description": "The egress entry *.example.com permits the registry host npm.internal.example.com, two labels below example.com. The workflow passes the workflow layer; the job's default timeout of 3,600,000 then exceeds the deployment maximum.",
       "workflow": {
-        "source": "spec: 2.0.0\non:\n  push:\n    branches:\n      - 'release/*'\n  pullRequest:\n    targetBranches:\n      - main\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\njobs:\n  test:\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - test\n"
+        "source": "spec: 2.0.0\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\njobs:\n  test:\n    network:\n      mode: egress\n      allow:\n        - host: '*.example.com'\n    npmRead:\n      - registry: https://npm.internal.example.com\n        scopes:\n          - '@example'\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - test\n"
       },
       "context": {
         "repository": {
@@ -1623,7 +1874,7 @@
         },
         "trigger": {
           "kind": "push",
-          "ref": "refs/heads/release/next/1"
+          "ref": "refs/heads/main"
         },
         "trustClass": "trusted",
         "protectedTagRun": false,
@@ -1639,16 +1890,41 @@
           "maximumWorkspaceBytes": 268435456,
           "maximumWorkspaceEntries": 100000
         },
-        "ociIsolation": "container"
+        "ociIsolation": "container",
+        "maximumTimeoutMs": 1800000
       },
       "expected": {
-        "outcome": "not-triggered"
+        "outcome": "failed",
+        "code": "policy_timeout_exceeded"
       }
     },
     {
-      "id": "trigger-target-branch-not-matched",
+      "id": "workflow-egress-wildcard-excludes-domain",
+      "description": "The egress entry *.example.com does not permit the registry host example.com itself.",
       "workflow": {
-        "source": "spec: 2.0.0\non:\n  push:\n    branches:\n      - 'release/*'\n  pullRequest:\n    targetBranches:\n      - main\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\njobs:\n  test:\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - test\n"
+        "source": "spec: 2.0.0\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\njobs:\n  test:\n    network:\n      mode: egress\n      allow:\n        - host: '*.example.com'\n    npmRead:\n      - registry: https://example.com\n        scopes:\n          - '@example'\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - test\n"
+      },
+      "expected": {
+        "outcome": "failed",
+        "code": "npm_read_invalid"
+      }
+    },
+    {
+      "id": "workflow-npm-read-workflow-environment",
+      "description": "The workflow environment defines NPM_CONFIG_USERCONFIG, which is in the merged environment of every step of an oci job with npmRead.",
+      "workflow": {
+        "source": "spec: 2.0.0\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\nenvironment:\n  NPM_CONFIG_USERCONFIG: /tmp/npmrc\njobs:\n  test:\n    network:\n      mode: egress\n      allow:\n        - host: 'npm.example.com'\n    npmRead:\n      - registry: https://npm.example.com\n        scopes:\n          - '@example'\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - test\n"
+      },
+      "expected": {
+        "outcome": "failed",
+        "code": "npm_read_invalid"
+      }
+    },
+    {
+      "id": "workflow-npm-read-workflow-environment-build-job",
+      "description": "The workflow environment defines NPM_CONFIG_USERCONFIG and only a build job declares npmRead: the workflow environment does not apply to build jobs. The workflow passes the workflow layer; the job's default timeout of 3,600,000 then exceeds the deployment maximum.",
+      "workflow": {
+        "source": "spec: 2.0.0\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: candidate\n  npm: none\n  releaseAssets: none\nenvironment:\n  NPM_CONFIG_USERCONFIG: /tmp/npmrc\njobs:\n  image:\n    network:\n      mode: egress\n      allow:\n        - host: 'npm.example.com'\n    npmRead:\n      - registry: https://npm.example.com\n        scopes:\n          - '@example'\n    runner:\n      profile: oci-image\n      labels:\n        - builder\n    build:\n      context: .\n      dockerfile: Dockerfile\n      platforms:\n        - linux/amd64\n"
       },
       "context": {
         "repository": {
@@ -1665,11 +1941,10 @@
           "entryCount": 4
         },
         "trigger": {
-          "kind": "pullRequest",
-          "pullRequest": "42",
-          "targetBranch": "develop"
+          "kind": "push",
+          "ref": "refs/heads/main"
         },
-        "trustClass": "untrusted",
+        "trustClass": "trusted",
         "protectedTagRun": false,
         "secrets": []
       },
@@ -1683,15 +1958,291 @@
           "maximumWorkspaceBytes": 268435456,
           "maximumWorkspaceEntries": 100000
         },
-        "ociIsolation": "container"
+        "ociIsolation": "container",
+        "maximumTimeoutMs": 1800000
       },
       "expected": {
-        "outcome": "not-triggered"
+        "outcome": "failed",
+        "code": "policy_timeout_exceeded"
       }
     },
     {
-      "id": "trigger-invalid-workflow-fails-unmatched-event",
-      "description": "Filters of a workflow that fails the schema layer are never evaluated, so the event creates a failed run.",
+      "id": "workflow-npm-read-build-secret-target",
+      "description": "A build job with npmRead has the secret target NPM_CONFIG_USERCONFIG, which a build secret names.",
+      "workflow": {
+        "source": "spec: 2.0.0\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: candidate\n  npm: none\n  releaseAssets: none\njobs:\n  image:\n    network:\n      mode: egress\n      allow:\n        - host: 'npm.example.com'\n    npmRead:\n      - registry: https://npm.example.com\n        scopes:\n          - '@example'\n    secrets:\n      - name: npm-config\n        environment: NPM_CONFIG_USERCONFIG\n    runner:\n      profile: oci-image\n      labels:\n        - builder\n    build:\n      context: .\n      dockerfile: Dockerfile\n      platforms:\n        - linux/amd64\n      secrets:\n        - id: npmconfig\n          environment: NPM_CONFIG_USERCONFIG\n"
+      },
+      "expected": {
+        "outcome": "failed",
+        "code": "npm_read_invalid"
+      }
+    },
+    {
+      "id": "workflow-shared-memory-without-memory",
+      "description": "A job declares sharedMemoryBytes of 8 GiB and no memoryBytes: resources_invalid compares declared values only. The workflow passes the workflow layer; the job's default timeout of 3,600,000 then exceeds the deployment maximum.",
+      "workflow": {
+        "source": "spec: 2.0.0\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\njobs:\n  test:\n    resources:\n      sharedMemoryBytes: 8589934592\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - test\n"
+      },
+      "context": {
+        "repository": {
+          "tenantId": "tenant-1",
+          "repositoryId": "example/app",
+          "url": "https://code.foss.global/example/app"
+        },
+        "sourceObjectId": "aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa",
+        "source": {
+          "format": "tar.gz",
+          "sha256": "eeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeee",
+          "sizeBytes": 1024,
+          "extractedSizeBytes": 4096,
+          "entryCount": 4
+        },
+        "trigger": {
+          "kind": "push",
+          "ref": "refs/heads/main"
+        },
+        "trustClass": "trusted",
+        "protectedTagRun": false,
+        "secrets": []
+      },
+      "policy": {
+        "limits": {
+          "maximumSourceArchiveBytes": 1048576,
+          "maximumSourceExtractedBytes": 4194304,
+          "maximumSourceEntries": 1000,
+          "maximumLogChunkBytes": 65536,
+          "maximumTotalLogBytes": 10485760,
+          "maximumWorkspaceBytes": 268435456,
+          "maximumWorkspaceEntries": 100000
+        },
+        "ociIsolation": "container",
+        "maximumTimeoutMs": 1800000
+      },
+      "expected": {
+        "outcome": "failed",
+        "code": "policy_timeout_exceeded"
+      }
+    },
+    {
+      "id": "trigger-branch-not-matched",
+      "workflow": {
+        "fixture": "conformance/ci-actions/valid/minimal.yml"
+      },
+      "context": {
+        "repository": {
+          "tenantId": "tenant-1",
+          "repositoryId": "example/app",
+          "url": "https://code.foss.global/example/app"
+        },
+        "sourceObjectId": "aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa",
+        "source": {
+          "format": "tar.gz",
+          "sha256": "eeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeee",
+          "sizeBytes": 1024,
+          "extractedSizeBytes": 4096,
+          "entryCount": 4
+        },
+        "trigger": {
+          "kind": "push",
+          "ref": "refs/heads/feature"
+        },
+        "trustClass": "trusted",
+        "protectedTagRun": false,
+        "secrets": []
+      },
+      "policy": {
+        "limits": {
+          "maximumSourceArchiveBytes": 1048576,
+          "maximumSourceExtractedBytes": 4194304,
+          "maximumSourceEntries": 1000,
+          "maximumLogChunkBytes": 65536,
+          "maximumTotalLogBytes": 10485760,
+          "maximumWorkspaceBytes": 268435456,
+          "maximumWorkspaceEntries": 100000
+        },
+        "ociIsolation": "container"
+      },
+      "expected": {
+        "outcome": "not-triggered"
+      }
+    },
+    {
+      "id": "trigger-kind-not-declared",
+      "workflow": {
+        "fixture": "conformance/ci-actions/valid/minimal.yml"
+      },
+      "context": {
+        "repository": {
+          "tenantId": "tenant-1",
+          "repositoryId": "example/app",
+          "url": "https://code.foss.global/example/app"
+        },
+        "sourceObjectId": "aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa",
+        "source": {
+          "format": "tar.gz",
+          "sha256": "eeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeee",
+          "sizeBytes": 1024,
+          "extractedSizeBytes": 4096,
+          "entryCount": 4
+        },
+        "trigger": {
+          "kind": "tag",
+          "ref": "refs/tags/v1.0.0"
+        },
+        "trustClass": "trusted",
+        "protectedTagRun": false,
+        "secrets": []
+      },
+      "policy": {
+        "limits": {
+          "maximumSourceArchiveBytes": 1048576,
+          "maximumSourceExtractedBytes": 4194304,
+          "maximumSourceEntries": 1000,
+          "maximumLogChunkBytes": 65536,
+          "maximumTotalLogBytes": 10485760,
+          "maximumWorkspaceBytes": 268435456,
+          "maximumWorkspaceEntries": 100000
+        },
+        "ociIsolation": "container"
+      },
+      "expected": {
+        "outcome": "not-triggered"
+      }
+    },
+    {
+      "id": "trigger-manual-not-declared",
+      "workflow": {
+        "fixture": "conformance/ci-actions/valid/minimal.yml"
+      },
+      "context": {
+        "repository": {
+          "tenantId": "tenant-1",
+          "repositoryId": "example/app",
+          "url": "https://code.foss.global/example/app"
+        },
+        "sourceObjectId": "aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa",
+        "source": {
+          "format": "tar.gz",
+          "sha256": "eeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeee",
+          "sizeBytes": 1024,
+          "extractedSizeBytes": 4096,
+          "entryCount": 4
+        },
+        "trigger": {
+          "kind": "manual",
+          "ref": "refs/heads/main",
+          "inputs": {}
+        },
+        "trustClass": "trusted",
+        "protectedTagRun": false,
+        "secrets": []
+      },
+      "policy": {
+        "limits": {
+          "maximumSourceArchiveBytes": 1048576,
+          "maximumSourceExtractedBytes": 4194304,
+          "maximumSourceEntries": 1000,
+          "maximumLogChunkBytes": 65536,
+          "maximumTotalLogBytes": 10485760,
+          "maximumWorkspaceBytes": 268435456,
+          "maximumWorkspaceEntries": 100000
+        },
+        "ociIsolation": "container"
+      },
+      "expected": {
+        "outcome": "not-triggered"
+      }
+    },
+    {
+      "id": "trigger-star-stops-at-slash",
+      "workflow": {
+        "source": "spec: 2.0.0\non:\n  push:\n    branches:\n      - 'release/*'\n  pullRequest:\n    targetBranches:\n      - main\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\njobs:\n  test:\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - test\n"
+      },
+      "context": {
+        "repository": {
+          "tenantId": "tenant-1",
+          "repositoryId": "example/app",
+          "url": "https://code.foss.global/example/app"
+        },
+        "sourceObjectId": "aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa",
+        "source": {
+          "format": "tar.gz",
+          "sha256": "eeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeee",
+          "sizeBytes": 1024,
+          "extractedSizeBytes": 4096,
+          "entryCount": 4
+        },
+        "trigger": {
+          "kind": "push",
+          "ref": "refs/heads/release/next/1"
+        },
+        "trustClass": "trusted",
+        "protectedTagRun": false,
+        "secrets": []
+      },
+      "policy": {
+        "limits": {
+          "maximumSourceArchiveBytes": 1048576,
+          "maximumSourceExtractedBytes": 4194304,
+          "maximumSourceEntries": 1000,
+          "maximumLogChunkBytes": 65536,
+          "maximumTotalLogBytes": 10485760,
+          "maximumWorkspaceBytes": 268435456,
+          "maximumWorkspaceEntries": 100000
+        },
+        "ociIsolation": "container"
+      },
+      "expected": {
+        "outcome": "not-triggered"
+      }
+    },
+    {
+      "id": "trigger-target-branch-not-matched",
+      "workflow": {
+        "source": "spec: 2.0.0\non:\n  push:\n    branches:\n      - 'release/*'\n  pullRequest:\n    targetBranches:\n      - main\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\njobs:\n  test:\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - test\n"
+      },
+      "context": {
+        "repository": {
+          "tenantId": "tenant-1",
+          "repositoryId": "example/app",
+          "url": "https://code.foss.global/example/app"
+        },
+        "sourceObjectId": "aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa",
+        "source": {
+          "format": "tar.gz",
+          "sha256": "eeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeee",
+          "sizeBytes": 1024,
+          "extractedSizeBytes": 4096,
+          "entryCount": 4
+        },
+        "trigger": {
+          "kind": "pullRequest",
+          "pullRequest": "42",
+          "targetBranch": "develop"
+        },
+        "trustClass": "untrusted",
+        "protectedTagRun": false,
+        "secrets": []
+      },
+      "policy": {
+        "limits": {
+          "maximumSourceArchiveBytes": 1048576,
+          "maximumSourceExtractedBytes": 4194304,
+          "maximumSourceEntries": 1000,
+          "maximumLogChunkBytes": 65536,
+          "maximumTotalLogBytes": 10485760,
+          "maximumWorkspaceBytes": 268435456,
+          "maximumWorkspaceEntries": 100000
+        },
+        "ociIsolation": "container"
+      },
+      "expected": {
+        "outcome": "not-triggered"
+      }
+    },
+    {
+      "id": "trigger-invalid-workflow-fails-unmatched-event",
+      "description": "Filters of a workflow that fails the schema layer are never evaluated, so the event creates a failed run.",
       "workflow": {
         "source": "spec: 2.0.0\non:\n  push:\n    branches:\n      - 'release/*'\n  pullRequest:\n    targetBranches:\n      - main\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\nunknownField: true\njobs:\n  test:\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - test\n"
       },
@@ -1711,7 +2262,662 @@
         },
         "trigger": {
           "kind": "push",
-          "ref": "refs/heads/feature"
+          "ref": "refs/heads/feature"
+        },
+        "trustClass": "trusted",
+        "protectedTagRun": false,
+        "secrets": []
+      },
+      "policy": {
+        "limits": {
+          "maximumSourceArchiveBytes": 1048576,
+          "maximumSourceExtractedBytes": 4194304,
+          "maximumSourceEntries": 1000,
+          "maximumLogChunkBytes": 65536,
+          "maximumTotalLogBytes": 10485760,
+          "maximumWorkspaceBytes": 268435456,
+          "maximumWorkspaceEntries": 100000
+        },
+        "ociIsolation": "container"
+      },
+      "expected": {
+        "outcome": "failed",
+        "code": "workflow_schema_invalid"
+      }
+    },
+    {
+      "id": "compile-minimal-push",
+      "description": "Defaults: network none, the default timeout, the reserved variables, derived limits without transfers, and container isolation.",
+      "workflow": {
+        "fixture": "conformance/ci-actions/valid/minimal.yml"
+      },
+      "context": {
+        "repository": {
+          "tenantId": "tenant-1",
+          "repositoryId": "example/app",
+          "url": "https://code.foss.global/example/app"
+        },
+        "sourceObjectId": "aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa",
+        "source": {
+          "format": "tar.gz",
+          "sha256": "eeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeee",
+          "sizeBytes": 1024,
+          "extractedSizeBytes": 4096,
+          "entryCount": 4
+        },
+        "trigger": {
+          "kind": "push",
+          "ref": "refs/heads/main"
+        },
+        "trustClass": "trusted",
+        "protectedTagRun": false,
+        "secrets": []
+      },
+      "policy": {
+        "limits": {
+          "maximumSourceArchiveBytes": 1048576,
+          "maximumSourceExtractedBytes": 4194304,
+          "maximumSourceEntries": 1000,
+          "maximumLogChunkBytes": 65536,
+          "maximumTotalLogBytes": 10485760,
+          "maximumWorkspaceBytes": 268435456,
+          "maximumWorkspaceEntries": 100000
+        },
+        "ociIsolation": "container"
+      },
+      "expected": {
+        "outcome": "compiled",
+        "workflowDigest": "f4fb8f79b1b2185598c6366d8f164b07cd903dfc66ff40689709035f68ddec1f",
+        "nodes": [
+          {
+            "id": "test",
+            "kind": "job",
+            "needs": [],
+            "job": {
+              "spec": "2.0.0",
+              "sourceObjectId": "aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa",
+              "workflowDigest": "f4fb8f79b1b2185598c6366d8f164b07cd903dfc66ff40689709035f68ddec1f",
+              "requirements": {
+                "executionProfile": "oci",
+                "isolation": "container",
+                "labels": [
+                  "linux"
+                ],
+                "features": [
+                  "source.tar-gz"
+                ],
+                "limits": {
+                  "maximumSourceArchiveBytes": 1048576,
+                  "maximumSourceExtractedBytes": 4194304,
+                  "maximumSourceEntries": 1000,
+                  "maximumArtifactArchiveBytes": 0,
+                  "maximumArtifactExtractedBytes": 0,
+                  "maximumArtifactEntries": 0,
+                  "maximumArtifacts": 0,
+                  "maximumCacheArchiveBytes": 0,
+                  "maximumCacheExtractedBytes": 0,
+                  "maximumCacheEntries": 0,
+                  "maximumCaches": 0,
+                  "maximumLogChunkBytes": 65536,
+                  "maximumTotalLogBytes": 10485760,
+                  "maximumWorkspaceBytes": 268435456,
+                  "maximumWorkspaceEntries": 100000
+                }
+              },
+              "permissions": {
+                "source": "read",
+                "artifacts": "none",
+                "caches": "none",
+                "images": "none"
+              },
+              "network": {
+                "mode": "none"
+              },
+              "execution": {
+                "profile": "oci",
+                "image": "registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa"
+              },
+              "steps": [
+                {
+                  "command": [
+                    "pnpm",
+                    "test"
+                  ],
+                  "environment": {
+                    "SHIPZONE_CI_MATRIX_JSON": "{}",
+                    "SHIPZONE_CI_INPUTS_JSON": "{}"
+                  }
+                }
+              ],
+              "source": {
+                "format": "tar.gz",
+                "sha256": "eeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeee",
+                "sizeBytes": 1024,
+                "extractedSizeBytes": 4096,
+                "entryCount": 4
+              },
+              "secrets": {},
+              "timeoutMs": 3600000,
+              "artifacts": [],
+              "caches": [],
+              "compiledPlanDigest": "98fe7404ad887e287d65e2ac92689fbc3f494c2f28541490bc85f9fccbc0189e"
+            },
+            "secretBindings": {}
+          }
+        ]
+      }
+    },
+    {
+      "id": "compile-oci-isolation-policy",
+      "description": "Deployment policy requires microvm isolation for oci jobs.",
+      "workflow": {
+        "fixture": "conformance/ci-actions/valid/minimal.yml"
+      },
+      "context": {
+        "repository": {
+          "tenantId": "tenant-1",
+          "repositoryId": "example/app",
+          "url": "https://code.foss.global/example/app"
+        },
+        "sourceObjectId": "aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa",
+        "source": {
+          "format": "tar.gz",
+          "sha256": "eeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeee",
+          "sizeBytes": 1024,
+          "extractedSizeBytes": 4096,
+          "entryCount": 4
+        },
+        "trigger": {
+          "kind": "push",
+          "ref": "refs/heads/main"
+        },
+        "trustClass": "trusted",
+        "protectedTagRun": false,
+        "secrets": []
+      },
+      "policy": {
+        "limits": {
+          "maximumSourceArchiveBytes": 1048576,
+          "maximumSourceExtractedBytes": 4194304,
+          "maximumSourceEntries": 1000,
+          "maximumLogChunkBytes": 65536,
+          "maximumTotalLogBytes": 10485760,
+          "maximumWorkspaceBytes": 268435456,
+          "maximumWorkspaceEntries": 100000
+        },
+        "ociIsolation": "microvm"
+      },
+      "expected": {
+        "outcome": "compiled",
+        "workflowDigest": "f4fb8f79b1b2185598c6366d8f164b07cd903dfc66ff40689709035f68ddec1f",
+        "nodes": [
+          {
+            "id": "test",
+            "kind": "job",
+            "needs": [],
+            "job": {
+              "spec": "2.0.0",
+              "sourceObjectId": "aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa",
+              "workflowDigest": "f4fb8f79b1b2185598c6366d8f164b07cd903dfc66ff40689709035f68ddec1f",
+              "requirements": {
+                "executionProfile": "oci",
+                "isolation": "microvm",
+                "labels": [
+                  "linux"
+                ],
+                "features": [
+                  "source.tar-gz"
+                ],
+                "limits": {
+                  "maximumSourceArchiveBytes": 1048576,
+                  "maximumSourceExtractedBytes": 4194304,
+                  "maximumSourceEntries": 1000,
+                  "maximumArtifactArchiveBytes": 0,
+                  "maximumArtifactExtractedBytes": 0,
+                  "maximumArtifactEntries": 0,
+                  "maximumArtifacts": 0,
+                  "maximumCacheArchiveBytes": 0,
+                  "maximumCacheExtractedBytes": 0,
+                  "maximumCacheEntries": 0,
+                  "maximumCaches": 0,
+                  "maximumLogChunkBytes": 65536,
+                  "maximumTotalLogBytes": 10485760,
+                  "maximumWorkspaceBytes": 268435456,
+                  "maximumWorkspaceEntries": 100000
+                }
+              },
+              "permissions": {
+                "source": "read",
+                "artifacts": "none",
+                "caches": "none",
+                "images": "none"
+              },
+              "network": {
+                "mode": "none"
+              },
+              "execution": {
+                "profile": "oci",
+                "image": "registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa"
+              },
+              "steps": [
+                {
+                  "command": [
+                    "pnpm",
+                    "test"
+                  ],
+                  "environment": {
+                    "SHIPZONE_CI_MATRIX_JSON": "{}",
+                    "SHIPZONE_CI_INPUTS_JSON": "{}"
+                  }
+                }
+              ],
+              "source": {
+                "format": "tar.gz",
+                "sha256": "eeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeee",
+                "sizeBytes": 1024,
+                "extractedSizeBytes": 4096,
+                "entryCount": 4
+              },
+              "secrets": {},
+              "timeoutMs": 3600000,
+              "artifacts": [],
+              "caches": [],
+              "compiledPlanDigest": "339c039f5c9819669e9426fec53738cc1008b2fb83c83ff8697a8726a6404223"
+            },
+            "secretBindings": {}
+          }
+        ]
+      }
+    },
+    {
+      "id": "compile-byte-order-mark",
+      "description": "A leading byte order mark is accepted; the workflow digest covers it.",
+      "workflow": {
+        "sourceBase64": "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"
+      },
+      "context": {
+        "repository": {
+          "tenantId": "tenant-1",
+          "repositoryId": "example/app",
+          "url": "https://code.foss.global/example/app"
+        },
+        "sourceObjectId": "aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa",
+        "source": {
+          "format": "tar.gz",
+          "sha256": "eeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeee",
+          "sizeBytes": 1024,
+          "extractedSizeBytes": 4096,
+          "entryCount": 4
+        },
+        "trigger": {
+          "kind": "push",
+          "ref": "refs/heads/main"
+        },
+        "trustClass": "trusted",
+        "protectedTagRun": false,
+        "secrets": []
+      },
+      "policy": {
+        "limits": {
+          "maximumSourceArchiveBytes": 1048576,
+          "maximumSourceExtractedBytes": 4194304,
+          "maximumSourceEntries": 1000,
+          "maximumLogChunkBytes": 65536,
+          "maximumTotalLogBytes": 10485760,
+          "maximumWorkspaceBytes": 268435456,
+          "maximumWorkspaceEntries": 100000
+        },
+        "ociIsolation": "container"
+      },
+      "expected": {
+        "outcome": "compiled",
+        "workflowDigest": "f61d4938282a57e8a6eb4a62320ca68a071816e6230093d4fad5881e56f2ca51",
+        "nodes": [
+          {
+            "id": "test",
+            "kind": "job",
+            "needs": [],
+            "job": {
+              "spec": "2.0.0",
+              "sourceObjectId": "aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa",
+              "workflowDigest": "f61d4938282a57e8a6eb4a62320ca68a071816e6230093d4fad5881e56f2ca51",
+              "requirements": {
+                "executionProfile": "oci",
+                "isolation": "container",
+                "labels": [
+                  "linux"
+                ],
+                "features": [
+                  "source.tar-gz"
+                ],
+                "limits": {
+                  "maximumSourceArchiveBytes": 1048576,
+                  "maximumSourceExtractedBytes": 4194304,
+                  "maximumSourceEntries": 1000,
+                  "maximumArtifactArchiveBytes": 0,
+                  "maximumArtifactExtractedBytes": 0,
+                  "maximumArtifactEntries": 0,
+                  "maximumArtifacts": 0,
+                  "maximumCacheArchiveBytes": 0,
+                  "maximumCacheExtractedBytes": 0,
+                  "maximumCacheEntries": 0,
+                  "maximumCaches": 0,
+                  "maximumLogChunkBytes": 65536,
+                  "maximumTotalLogBytes": 10485760,
+                  "maximumWorkspaceBytes": 268435456,
+                  "maximumWorkspaceEntries": 100000
+                }
+              },
+              "permissions": {
+                "source": "read",
+                "artifacts": "none",
+                "caches": "none",
+                "images": "none"
+              },
+              "network": {
+                "mode": "none"
+              },
+              "execution": {
+                "profile": "oci",
+                "image": "registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa"
+              },
+              "steps": [
+                {
+                  "command": [
+                    "pnpm",
+                    "test"
+                  ],
+                  "environment": {
+                    "SHIPZONE_CI_MATRIX_JSON": "{}",
+                    "SHIPZONE_CI_INPUTS_JSON": "{}"
+                  }
+                }
+              ],
+              "source": {
+                "format": "tar.gz",
+                "sha256": "eeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeee",
+                "sizeBytes": 1024,
+                "extractedSizeBytes": 4096,
+                "entryCount": 4
+              },
+              "secrets": {},
+              "timeoutMs": 3600000,
+              "artifacts": [],
+              "caches": [],
+              "compiledPlanDigest": "0b420b0f74d8da40c9606082dc877598fa682f14753b4673dbe1e6960cd11899"
+            },
+            "secretBindings": {}
+          }
+        ]
+      }
+    },
+    {
+      "id": "compile-document-end-markers",
+      "description": "A document followed by two document end markers is one document.",
+      "workflow": {
+        "source": "spec: 2.0.0\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\njobs:\n  test:\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - test\n...\n...\n"
+      },
+      "context": {
+        "repository": {
+          "tenantId": "tenant-1",
+          "repositoryId": "example/app",
+          "url": "https://code.foss.global/example/app"
+        },
+        "sourceObjectId": "aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa",
+        "source": {
+          "format": "tar.gz",
+          "sha256": "eeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeee",
+          "sizeBytes": 1024,
+          "extractedSizeBytes": 4096,
+          "entryCount": 4
+        },
+        "trigger": {
+          "kind": "push",
+          "ref": "refs/heads/main"
+        },
+        "trustClass": "trusted",
+        "protectedTagRun": false,
+        "secrets": []
+      },
+      "policy": {
+        "limits": {
+          "maximumSourceArchiveBytes": 1048576,
+          "maximumSourceExtractedBytes": 4194304,
+          "maximumSourceEntries": 1000,
+          "maximumLogChunkBytes": 65536,
+          "maximumTotalLogBytes": 10485760,
+          "maximumWorkspaceBytes": 268435456,
+          "maximumWorkspaceEntries": 100000
+        },
+        "ociIsolation": "container"
+      },
+      "expected": {
+        "outcome": "compiled",
+        "workflowDigest": "e2462fbc6d73768acce6bdbd5d691dd473351f1b0ccc6d6b4871ac156e2b6eea",
+        "nodes": [
+          {
+            "id": "test",
+            "kind": "job",
+            "needs": [],
+            "job": {
+              "spec": "2.0.0",
+              "sourceObjectId": "aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa",
+              "workflowDigest": "e2462fbc6d73768acce6bdbd5d691dd473351f1b0ccc6d6b4871ac156e2b6eea",
+              "requirements": {
+                "executionProfile": "oci",
+                "isolation": "container",
+                "labels": [
+                  "linux"
+                ],
+                "features": [
+                  "source.tar-gz"
+                ],
+                "limits": {
+                  "maximumSourceArchiveBytes": 1048576,
+                  "maximumSourceExtractedBytes": 4194304,
+                  "maximumSourceEntries": 1000,
+                  "maximumArtifactArchiveBytes": 0,
+                  "maximumArtifactExtractedBytes": 0,
+                  "maximumArtifactEntries": 0,
+                  "maximumArtifacts": 0,
+                  "maximumCacheArchiveBytes": 0,
+                  "maximumCacheExtractedBytes": 0,
+                  "maximumCacheEntries": 0,
+                  "maximumCaches": 0,
+                  "maximumLogChunkBytes": 65536,
+                  "maximumTotalLogBytes": 10485760,
+                  "maximumWorkspaceBytes": 268435456,
+                  "maximumWorkspaceEntries": 100000
+                }
+              },
+              "permissions": {
+                "source": "read",
+                "artifacts": "none",
+                "caches": "none",
+                "images": "none"
+              },
+              "network": {
+                "mode": "none"
+              },
+              "execution": {
+                "profile": "oci",
+                "image": "registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa"
+              },
+              "steps": [
+                {
+                  "command": [
+                    "pnpm",
+                    "test"
+                  ],
+                  "environment": {
+                    "SHIPZONE_CI_MATRIX_JSON": "{}",
+                    "SHIPZONE_CI_INPUTS_JSON": "{}"
+                  }
+                }
+              ],
+              "source": {
+                "format": "tar.gz",
+                "sha256": "eeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeee",
+                "sizeBytes": 1024,
+                "extractedSizeBytes": 4096,
+                "entryCount": 4
+              },
+              "secrets": {},
+              "timeoutMs": 3600000,
+              "artifacts": [],
+              "caches": [],
+              "compiledPlanDigest": "9e9600a688b681648f2fd70bf488c8aee3625570f8e5feb592a98d985aa74fa4"
+            },
+            "secretBindings": {}
+          }
+        ]
+      }
+    },
+    {
+      "id": "compile-byte-order-mark-lines",
+      "description": "Runs of U+FEFF at the start of lines before the document, on the line it begins, and after a document end marker are byte order marks, not content.",
+      "workflow": {
+        "source": "\ufeff\ufeff\ufeff# prefix\n\ufeff\n\ufeffspec: 2.0.0\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\njobs:\n  test:\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - test\n...\n\ufeff\ufeff# after the end marker\n"
+      },
+      "context": {
+        "repository": {
+          "tenantId": "tenant-1",
+          "repositoryId": "example/app",
+          "url": "https://code.foss.global/example/app"
+        },
+        "sourceObjectId": "aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa",
+        "source": {
+          "format": "tar.gz",
+          "sha256": "eeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeee",
+          "sizeBytes": 1024,
+          "extractedSizeBytes": 4096,
+          "entryCount": 4
+        },
+        "trigger": {
+          "kind": "push",
+          "ref": "refs/heads/main"
+        },
+        "trustClass": "trusted",
+        "protectedTagRun": false,
+        "secrets": []
+      },
+      "policy": {
+        "limits": {
+          "maximumSourceArchiveBytes": 1048576,
+          "maximumSourceExtractedBytes": 4194304,
+          "maximumSourceEntries": 1000,
+          "maximumLogChunkBytes": 65536,
+          "maximumTotalLogBytes": 10485760,
+          "maximumWorkspaceBytes": 268435456,
+          "maximumWorkspaceEntries": 100000
+        },
+        "ociIsolation": "container"
+      },
+      "expected": {
+        "outcome": "compiled",
+        "workflowDigest": "4926ea865106edf755c92fabff734b07678ea31199140d93ab69e4675e66e354",
+        "nodes": [
+          {
+            "id": "test",
+            "kind": "job",
+            "needs": [],
+            "job": {
+              "spec": "2.0.0",
+              "sourceObjectId": "aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa",
+              "workflowDigest": "4926ea865106edf755c92fabff734b07678ea31199140d93ab69e4675e66e354",
+              "requirements": {
+                "executionProfile": "oci",
+                "isolation": "container",
+                "labels": [
+                  "linux"
+                ],
+                "features": [
+                  "source.tar-gz"
+                ],
+                "limits": {
+                  "maximumSourceArchiveBytes": 1048576,
+                  "maximumSourceExtractedBytes": 4194304,
+                  "maximumSourceEntries": 1000,
+                  "maximumArtifactArchiveBytes": 0,
+                  "maximumArtifactExtractedBytes": 0,
+                  "maximumArtifactEntries": 0,
+                  "maximumArtifacts": 0,
+                  "maximumCacheArchiveBytes": 0,
+                  "maximumCacheExtractedBytes": 0,
+                  "maximumCacheEntries": 0,
+                  "maximumCaches": 0,
+                  "maximumLogChunkBytes": 65536,
+                  "maximumTotalLogBytes": 10485760,
+                  "maximumWorkspaceBytes": 268435456,
+                  "maximumWorkspaceEntries": 100000
+                }
+              },
+              "permissions": {
+                "source": "read",
+                "artifacts": "none",
+                "caches": "none",
+                "images": "none"
+              },
+              "network": {
+                "mode": "none"
+              },
+              "execution": {
+                "profile": "oci",
+                "image": "registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa"
+              },
+              "steps": [
+                {
+                  "command": [
+                    "pnpm",
+                    "test"
+                  ],
+                  "environment": {
+                    "SHIPZONE_CI_MATRIX_JSON": "{}",
+                    "SHIPZONE_CI_INPUTS_JSON": "{}"
+                  }
+                }
+              ],
+              "source": {
+                "format": "tar.gz",
+                "sha256": "eeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeee",
+                "sizeBytes": 1024,
+                "extractedSizeBytes": 4096,
+                "entryCount": 4
+              },
+              "secrets": {},
+              "timeoutMs": 3600000,
+              "artifacts": [],
+              "caches": [],
+              "compiledPlanDigest": "983b722b51e648482748ebd266d886e8599dad95970026641d5f37f3a2f65986"
+            },
+            "secretBindings": {}
+          }
+        ]
+      }
+    },
+    {
+      "id": "compile-byte-order-mark-trailing-comment",
+      "description": "A comment line after the document begins with U+FEFF: without a document end marker, it is the prefix of a following document that is absent.",
+      "workflow": {
+        "source": "spec: 2.0.0\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\njobs:\n  test:\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - test\n\ufeff# trailing comment\n"
+      },
+      "context": {
+        "repository": {
+          "tenantId": "tenant-1",
+          "repositoryId": "example/app",
+          "url": "https://code.foss.global/example/app"
+        },
+        "sourceObjectId": "aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa",
+        "source": {
+          "format": "tar.gz",
+          "sha256": "eeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeee",
+          "sizeBytes": 1024,
+          "extractedSizeBytes": 4096,
+          "entryCount": 4
+        },
+        "trigger": {
+          "kind": "push",
+          "ref": "refs/heads/main"
         },
         "trustClass": "trusted",
         "protectedTagRun": false,
@@ -1730,15 +2936,92 @@
         "ociIsolation": "container"
       },
       "expected": {
-        "outcome": "failed",
-        "code": "workflow_schema_invalid"
+        "outcome": "compiled",
+        "workflowDigest": "ffd5489463937ced56358a73c93b7423d76aecfd6634c19d0d3b829f74a03890",
+        "nodes": [
+          {
+            "id": "test",
+            "kind": "job",
+            "needs": [],
+            "job": {
+              "spec": "2.0.0",
+              "sourceObjectId": "aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa",
+              "workflowDigest": "ffd5489463937ced56358a73c93b7423d76aecfd6634c19d0d3b829f74a03890",
+              "requirements": {
+                "executionProfile": "oci",
+                "isolation": "container",
+                "labels": [
+                  "linux"
+                ],
+                "features": [
+                  "source.tar-gz"
+                ],
+                "limits": {
+                  "maximumSourceArchiveBytes": 1048576,
+                  "maximumSourceExtractedBytes": 4194304,
+                  "maximumSourceEntries": 1000,
+                  "maximumArtifactArchiveBytes": 0,
+                  "maximumArtifactExtractedBytes": 0,
+                  "maximumArtifactEntries": 0,
+                  "maximumArtifacts": 0,
+                  "maximumCacheArchiveBytes": 0,
+                  "maximumCacheExtractedBytes": 0,
+                  "maximumCacheEntries": 0,
+                  "maximumCaches": 0,
+                  "maximumLogChunkBytes": 65536,
+                  "maximumTotalLogBytes": 10485760,
+                  "maximumWorkspaceBytes": 268435456,
+                  "maximumWorkspaceEntries": 100000
+                }
+              },
+              "permissions": {
+                "source": "read",
+                "artifacts": "none",
+                "caches": "none",
+                "images": "none"
+              },
+              "network": {
+                "mode": "none"
+              },
+              "execution": {
+                "profile": "oci",
+                "image": "registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa"
+              },
+              "steps": [
+                {
+                  "command": [
+                    "pnpm",
+                    "test"
+                  ],
+                  "environment": {
+                    "SHIPZONE_CI_MATRIX_JSON": "{}",
+                    "SHIPZONE_CI_INPUTS_JSON": "{}"
+                  }
+                }
+              ],
+              "source": {
+                "format": "tar.gz",
+                "sha256": "eeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeee",
+                "sizeBytes": 1024,
+                "extractedSizeBytes": 4096,
+                "entryCount": 4
+              },
+              "secrets": {},
+              "timeoutMs": 3600000,
+              "artifacts": [],
+              "caches": [],
+              "compiledPlanDigest": "069c5d49b54c41a6dd656a2ffa7b61993d541e519e621d5f678675e6d7fb2c5c"
+            },
+            "secretBindings": {}
+          }
+        ]
       }
     },
     {
-      "id": "compile-minimal-push",
-      "description": "Defaults: network none, the default timeout, the reserved variables, derived limits without transfers, and container isolation.",
+      "id": "compile-byte-order-mark-trailing-blank-and-comment",
+      "description": "A blank line, then a comment line that begins with U+FEFF, after the document.",
       "workflow": {
-        "fixture": "conformance/ci-actions/valid/minimal.yml"
+        "source": "spec: 2.0.0\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\njobs:\n  test:\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - test\n\n\ufeff# trailing comment\n"
       },
       "context": {
         "repository": {
@@ -1776,7 +3059,7 @@
       },
       "expected": {
         "outcome": "compiled",
-        "workflowDigest": "f4fb8f79b1b2185598c6366d8f164b07cd903dfc66ff40689709035f68ddec1f",
+        "workflowDigest": "519951a2272c4bc7bab2c40dff765c2f519a22f63785de56c88a3670e9ed5638",
         "nodes": [
           {
             "id": "test",
@@ -1785,7 +3068,7 @@
             "job": {
               "spec": "2.0.0",
               "sourceObjectId": "aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa",
-              "workflowDigest": "f4fb8f79b1b2185598c6366d8f164b07cd903dfc66ff40689709035f68ddec1f",
+              "workflowDigest": "519951a2272c4bc7bab2c40dff765c2f519a22f63785de56c88a3670e9ed5638",
               "requirements": {
                 "executionProfile": "oci",
                 "isolation": "container",
@@ -1849,7 +3132,7 @@
               "timeoutMs": 3600000,
               "artifacts": [],
               "caches": [],
-              "compiledPlanDigest": "98fe7404ad887e287d65e2ac92689fbc3f494c2f28541490bc85f9fccbc0189e"
+              "compiledPlanDigest": "1422d43d648ecde917372620092d9e92efc58638d7de6abf668e795cd85c1c7c"
             },
             "secretBindings": {}
           }
@@ -1857,10 +3140,10 @@
       }
     },
     {
-      "id": "compile-oci-isolation-policy",
-      "description": "Deployment policy requires microvm isolation for oci jobs.",
+      "id": "compile-quoted-scalar-content",
+      "description": "Quoted scalars hold DEL, C1 controls, NEL, U+FEFF, U+FFFE, and U+FFFF as content, and a \\u surrogate pair escape denotes one character.",
       "workflow": {
-        "fixture": "conformance/ci-actions/valid/minimal.yml"
+        "source": "spec: 2.0.0\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\njobs:\n  test:\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - '\u007f\u0080\u0085\ufeff\ufffe\uffff'\n          - \"\u009f\ufeff\\uD83D\\uDE00\\U0001F600\\x7F\"\n"
       },
       "context": {
         "repository": {
@@ -1894,11 +3177,11 @@
           "maximumWorkspaceBytes": 268435456,
           "maximumWorkspaceEntries": 100000
         },
-        "ociIsolation": "microvm"
+        "ociIsolation": "container"
       },
       "expected": {
         "outcome": "compiled",
-        "workflowDigest": "f4fb8f79b1b2185598c6366d8f164b07cd903dfc66ff40689709035f68ddec1f",
+        "workflowDigest": "7292aa64a747a9841d9c8bc71f22c2bcaccb4ec8cad2f6bd0c638cb2802705f3",
         "nodes": [
           {
             "id": "test",
@@ -1907,10 +3190,133 @@
             "job": {
               "spec": "2.0.0",
               "sourceObjectId": "aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa",
-              "workflowDigest": "f4fb8f79b1b2185598c6366d8f164b07cd903dfc66ff40689709035f68ddec1f",
+              "workflowDigest": "7292aa64a747a9841d9c8bc71f22c2bcaccb4ec8cad2f6bd0c638cb2802705f3",
               "requirements": {
                 "executionProfile": "oci",
-                "isolation": "microvm",
+                "isolation": "container",
+                "labels": [
+                  "linux"
+                ],
+                "features": [
+                  "source.tar-gz"
+                ],
+                "limits": {
+                  "maximumSourceArchiveBytes": 1048576,
+                  "maximumSourceExtractedBytes": 4194304,
+                  "maximumSourceEntries": 1000,
+                  "maximumArtifactArchiveBytes": 0,
+                  "maximumArtifactExtractedBytes": 0,
+                  "maximumArtifactEntries": 0,
+                  "maximumArtifacts": 0,
+                  "maximumCacheArchiveBytes": 0,
+                  "maximumCacheExtractedBytes": 0,
+                  "maximumCacheEntries": 0,
+                  "maximumCaches": 0,
+                  "maximumLogChunkBytes": 65536,
+                  "maximumTotalLogBytes": 10485760,
+                  "maximumWorkspaceBytes": 268435456,
+                  "maximumWorkspaceEntries": 100000
+                }
+              },
+              "permissions": {
+                "source": "read",
+                "artifacts": "none",
+                "caches": "none",
+                "images": "none"
+              },
+              "network": {
+                "mode": "none"
+              },
+              "execution": {
+                "profile": "oci",
+                "image": "registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa"
+              },
+              "steps": [
+                {
+                  "command": [
+                    "pnpm",
+                    "\u007f\u0080\u0085\ufeff\ufffe\uffff",
+                    "\u009f\ufeff😀😀\u007f"
+                  ],
+                  "environment": {
+                    "SHIPZONE_CI_MATRIX_JSON": "{}",
+                    "SHIPZONE_CI_INPUTS_JSON": "{}"
+                  }
+                }
+              ],
+              "source": {
+                "format": "tar.gz",
+                "sha256": "eeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeee",
+                "sizeBytes": 1024,
+                "extractedSizeBytes": 4096,
+                "entryCount": 4
+              },
+              "secrets": {},
+              "timeoutMs": 3600000,
+              "artifacts": [],
+              "caches": [],
+              "compiledPlanDigest": "f9ce334d6a205eb2f4671c08859661340985ceb30b0fc3c8caaea71d9d82c896"
+            },
+            "secretBindings": {}
+          }
+        ]
+      }
+    },
+    {
+      "id": "compile-carriage-return-line-breaks",
+      "description": "Every line ends in a carriage return alone, a YAML 1.2 line break; the block scalar reads its line breaks as line feeds.",
+      "workflow": {
+        "source": "spec: 2.0.0\ron:\r  push: {}\rpermissions:\r  source: read\r  artifacts: none\r  caches: none\r  images: none\r  npm: none\r  releaseAssets: none\rjobs:\r  test:\r    runner:\r      profile: oci\r      labels:\r        - linux\r    execution:\r      profile: oci\r      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\r    steps:\r      - run:\r          - pnpm\r          - test\r        environment:\r          NOTE: |\r            x\r            y\r"
+      },
+      "context": {
+        "repository": {
+          "tenantId": "tenant-1",
+          "repositoryId": "example/app",
+          "url": "https://code.foss.global/example/app"
+        },
+        "sourceObjectId": "aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa",
+        "source": {
+          "format": "tar.gz",
+          "sha256": "eeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeee",
+          "sizeBytes": 1024,
+          "extractedSizeBytes": 4096,
+          "entryCount": 4
+        },
+        "trigger": {
+          "kind": "push",
+          "ref": "refs/heads/main"
+        },
+        "trustClass": "trusted",
+        "protectedTagRun": false,
+        "secrets": []
+      },
+      "policy": {
+        "limits": {
+          "maximumSourceArchiveBytes": 1048576,
+          "maximumSourceExtractedBytes": 4194304,
+          "maximumSourceEntries": 1000,
+          "maximumLogChunkBytes": 65536,
+          "maximumTotalLogBytes": 10485760,
+          "maximumWorkspaceBytes": 268435456,
+          "maximumWorkspaceEntries": 100000
+        },
+        "ociIsolation": "container"
+      },
+      "expected": {
+        "outcome": "compiled",
+        "workflowDigest": "242def6036a62e9aaa48035fe6b5718f40f3b74500d2d3262dcb5ac388212f40",
+        "nodes": [
+          {
+            "id": "test",
+            "kind": "job",
+            "needs": [],
+            "job": {
+              "spec": "2.0.0",
+              "sourceObjectId": "aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa",
+              "workflowDigest": "242def6036a62e9aaa48035fe6b5718f40f3b74500d2d3262dcb5ac388212f40",
+              "requirements": {
+                "executionProfile": "oci",
+                "isolation": "container",
                 "labels": [
                   "linux"
                 ],
@@ -1955,6 +3361,7 @@
                     "test"
                   ],
                   "environment": {
+                    "NOTE": "x\ny\n",
                     "SHIPZONE_CI_MATRIX_JSON": "{}",
                     "SHIPZONE_CI_INPUTS_JSON": "{}"
                   }
@@ -1971,7 +3378,7 @@
               "timeoutMs": 3600000,
               "artifacts": [],
               "caches": [],
-              "compiledPlanDigest": "339c039f5c9819669e9426fec53738cc1008b2fb83c83ff8697a8726a6404223"
+              "compiledPlanDigest": "b68c11661ebb60182581880e4513dc08619e58d7ada5ba5c09ccd20276429b8b"
             },
             "secretBindings": {}
           }
@@ -1979,10 +3386,10 @@
       }
     },
     {
-      "id": "compile-byte-order-mark",
-      "description": "A leading byte order mark is accepted; the workflow digest covers it.",
+      "id": "compile-byte-order-mark-after-keep-block",
+      "description": "A keep-chomped block scalar ends the document, followed by an empty line, a line of U+FEFF, and an empty line: the empty line before the byte order mark line is content of the scalar, the lines from the byte order mark line on are not.",
       "workflow": {
-        "sourceBase64": "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"
+        "source": "spec: 2.0.0\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\njobs:\n  test:\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - test\n        environment:\n          NOTE: |+\n            x\n\n\ufeff\n\n"
       },
       "context": {
         "repository": {
@@ -2020,7 +3427,7 @@
       },
       "expected": {
         "outcome": "compiled",
-        "workflowDigest": "f61d4938282a57e8a6eb4a62320ca68a071816e6230093d4fad5881e56f2ca51",
+        "workflowDigest": "fde33b8dc0ca13394f5f62ac0349b963e5678eae7cce9afa4652faada80531f6",
         "nodes": [
           {
             "id": "test",
@@ -2029,7 +3436,7 @@
             "job": {
               "spec": "2.0.0",
               "sourceObjectId": "aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa",
-              "workflowDigest": "f61d4938282a57e8a6eb4a62320ca68a071816e6230093d4fad5881e56f2ca51",
+              "workflowDigest": "fde33b8dc0ca13394f5f62ac0349b963e5678eae7cce9afa4652faada80531f6",
               "requirements": {
                 "executionProfile": "oci",
                 "isolation": "container",
@@ -2077,6 +3484,7 @@
                     "test"
                   ],
                   "environment": {
+                    "NOTE": "x\n\n",
                     "SHIPZONE_CI_MATRIX_JSON": "{}",
                     "SHIPZONE_CI_INPUTS_JSON": "{}"
                   }
@@ -2093,7 +3501,7 @@
               "timeoutMs": 3600000,
               "artifacts": [],
               "caches": [],
-              "compiledPlanDigest": "0b420b0f74d8da40c9606082dc877598fa682f14753b4673dbe1e6960cd11899"
+              "compiledPlanDigest": "5ea1d0fe4980d633960d99241348dc9818e7a1defb7edd0510c15204f0715830"
             },
             "secretBindings": {}
           }