From 7ada72c8171051710a198463210dbcece79b76bd Mon Sep 17 00:00:00 2001 From: wrongwrong Date: Sat, 1 Aug 2026 17:46:17 +0900 Subject: [PATCH 1/2] =?UTF-8?q?fix:=20yarn.lock=20=E3=82=92=E5=86=8D?= =?UTF-8?q?=E7=94=9F=E6=88=90=E3=81=97=E3=81=A6=20brace-expansion=20?= =?UTF-8?q?=E3=81=AE=E8=84=86=E5=BC=B1=E6=80=A7=E3=82=92=E8=A7=A3=E6=B6=88?= =?UTF-8?q?=E3=81=99=E3=82=8B?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit kotlin-js-store/yarn.lock の npm 依存はすべて mocha（JS/wasm テストランナー）の推移依存で、 brace-expansion は minimatch / glob 経由で 2.1.2 に固定されていた。修正版 2.1.3 は上流の 宣言レンジ ^2.0.2 の内側にあり、lockfile の再解決だけで到達できる。 ルートビルドと integration-test の双方で kotlinUpgradeYarnLock を実行し、brace-expansion を 2.1.4 へ上げる。js-yaml 4.3.1 は同じ再解決に伴う随伴で脆弱性とは無関係。生成物は .gitattributes の方針に合わせて LF へ正規化する。 Co-Authored-By: Claude Opus 5 --- integration-test/kotlin-js-store/yarn.lock | 12 ++++++------ kotlin-js-store/yarn.lock | 12 ++++++------ 2 files changed, 12 insertions(+), 12 deletions(-) diff --git a/integration-test/kotlin-js-store/yarn.lock b/integration-test/kotlin-js-store/yarn.lock index 46cbae9..de12e22 100644 --- a/integration-test/kotlin-js-store/yarn.lock +++ b/integration-test/kotlin-js-store/yarn.lock @@ -52,9 +52,9 @@ balanced-match@^1.0.0: integrity sha512-3oSeUO0TMV67hN1AmbXsK4yaqU7tjiHlbxRDZOpH0KW9+CeX4bRAaX0Anxt0tx2MrpRpWwQaPwIlISEJhYU5Pw== brace-expansion@^2.0.2: - version "2.1.2" - resolved "https://registry.yarnpkg.com/brace-expansion/-/brace-expansion-2.1.2.tgz#0bba2271feb7d458b0d31ad13625aaa4754431e2" - integrity sha512-w5JZcKgdhDOgOwm8H+KgbosopHMuGcl6qbulwjtz3SM7I7P3yW1eAjzMPLrIE+NQ9vjgANKHWeMHnrT0OXW1oA== + version "2.1.4" + resolved "https://registry.yarnpkg.com/brace-expansion/-/brace-expansion-2.1.4.tgz#589dab11c0018d0366be64cd8bf12c8dbecc8326" + integrity sha512-hGfVzPxthbf3+2yjg/RBs60cB0FhqBS/zvdV/4wn4/BmN0bNMMHPc4V/BbFieqf1TKAGGAHnY4eSjajCl0f2Xg== dependencies: balanced-match "^1.0.0" @@ -248,9 +248,9 @@ jackspeak@^3.1.2: "@pkgjs/parseargs" "^0.11.0" js-yaml@^4.1.0: - version "4.3.0" - resolved "https://registry.yarnpkg.com/js-yaml/-/js-yaml-4.3.0.tgz#d1900572a7f7cf0b5f540c83673e60bad3436592" - integrity sha512-1td788aAnnZ5qs7V2QIRl1owjtYpbKt749Y3xauqQgwIIGF/xXWz1wMTEBx5O3LK3lXLVuqXPdPxj2BoFHaW9Q== + version "4.3.1" + resolved "https://registry.yarnpkg.com/js-yaml/-/js-yaml-4.3.1.tgz#01216c001d67f48e2cd560d708c7af21090a3848" + integrity sha512-CY6crGq313MX8GkwvB7tzgp99vjQxY1++5y10/BKN/GUfHqWaOGQMNZkBvqSzsZKWk/ijwHlWzzkLulsGHhjWQ== dependencies: argparse "^2.0.1" diff --git a/kotlin-js-store/yarn.lock b/kotlin-js-store/yarn.lock index 46cbae9..de12e22 100644 --- a/kotlin-js-store/yarn.lock +++ b/kotlin-js-store/yarn.lock @@ -52,9 +52,9 @@ balanced-match@^1.0.0: integrity sha512-3oSeUO0TMV67hN1AmbXsK4yaqU7tjiHlbxRDZOpH0KW9+CeX4bRAaX0Anxt0tx2MrpRpWwQaPwIlISEJhYU5Pw== brace-expansion@^2.0.2: - version "2.1.2" - resolved "https://registry.yarnpkg.com/brace-expansion/-/brace-expansion-2.1.2.tgz#0bba2271feb7d458b0d31ad13625aaa4754431e2" - integrity sha512-w5JZcKgdhDOgOwm8H+KgbosopHMuGcl6qbulwjtz3SM7I7P3yW1eAjzMPLrIE+NQ9vjgANKHWeMHnrT0OXW1oA== + version "2.1.4" + resolved "https://registry.yarnpkg.com/brace-expansion/-/brace-expansion-2.1.4.tgz#589dab11c0018d0366be64cd8bf12c8dbecc8326" + integrity sha512-hGfVzPxthbf3+2yjg/RBs60cB0FhqBS/zvdV/4wn4/BmN0bNMMHPc4V/BbFieqf1TKAGGAHnY4eSjajCl0f2Xg== dependencies: balanced-match "^1.0.0" @@ -248,9 +248,9 @@ jackspeak@^3.1.2: "@pkgjs/parseargs" "^0.11.0" js-yaml@^4.1.0: - version "4.3.0" - resolved "https://registry.yarnpkg.com/js-yaml/-/js-yaml-4.3.0.tgz#d1900572a7f7cf0b5f540c83673e60bad3436592" - integrity sha512-1td788aAnnZ5qs7V2QIRl1owjtYpbKt749Y3xauqQgwIIGF/xXWz1wMTEBx5O3LK3lXLVuqXPdPxj2BoFHaW9Q== + version "4.3.1" + resolved "https://registry.yarnpkg.com/js-yaml/-/js-yaml-4.3.1.tgz#01216c001d67f48e2cd560d708c7af21090a3848" + integrity sha512-CY6crGq313MX8GkwvB7tzgp99vjQxY1++5y10/BKN/GUfHqWaOGQMNZkBvqSzsZKWk/ijwHlWzzkLulsGHhjWQ== dependencies: argparse "^2.0.1" From 22abe334b4be33ad55cb1f198aca2ef8e735f43c Mon Sep 17 00:00:00 2001 From: wrongwrong Date: Sat, 1 Aug 2026 17:46:17 +0900 Subject: [PATCH 2/2] =?UTF-8?q?ci:=20npm=20=E8=84=86=E5=BC=B1=E6=80=A7=20a?= =?UTF-8?q?lert=20=E3=81=AE=E5=88=A4=E5=AE=9A=E5=9F=BA=E6=BA=96=E3=82=92?= =?UTF-8?q?=20dependabot.yml=20=E3=81=B8=E6=98=8E=E6=96=87=E5=8C=96?= =?UTF-8?q?=E3=81=99=E3=82=8B?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit npm は version updates の対象に含めない。lockfile は KGP が JS/wasm テストランナー用に生成する 成果物であり、宣言元の package.json がリポジトリに存在しないため、Dependabot の更新 PR は次の kotlinUpgradeYarnLock で失われる。 alerts の判定基準として、上流の宣言レンジ内に修正版がある場合は lockfile の再生成で追随し、 無い場合は tolerable_risk として dismiss することをコメントへ置く。resolutions による major 跨ぎの 強制上書きは、上流が検証していない組み合わせをテストランナーへ注入することになるため採らない。 Co-Authored-By: Claude Opus 5 --- .github/dependabot.yml | 10 ++++++++++ 1 file changed, 10 insertions(+) diff --git a/.github/dependabot.yml b/.github/dependabot.yml index cb29704..543d8b4 100644 --- a/.github/dependabot.yml +++ b/.github/dependabot.yml @@ -1,6 +1,16 @@ # 依存の version updates（マニフェスト = version catalog / ビルドスクリプト / ワークフロー由来）。 # Kotlin の更新 PR は catalog 経由で配布版 -<自版> の導出まで自動で追随し、CI が検証する。 # 解決済み依存グラフ（推移依存含む）に対する alerts は build.yml の dependency-submission ジョブが補完する +# +# npm（kotlin-js-store/yarn.lock）は version updates の対象に含めない。lockfile は KGP が +# JS/wasm テストランナー用に生成する成果物であり、宣言元の package.json はリポジトリに存在しないため、 +# Dependabot の更新 PR は次の kotlinUpgradeYarnLock で失われる。alerts は次の基準で捌く。 +# 1. 上流の宣言レンジ内に修正版がある場合: kotlinUpgradeYarnLock で lockfile を再生成して追随する +# （両ビルドで実行し、生成物は LF へ正規化する） +# 2. レンジ内に修正版が無い場合: tolerable_risk として dismiss する。npm 依存は runtime-api の +# 配布物に入らず（生成 package.json は依存ゼロ、公開先は Maven Central のみ）、 +# 処理する入力も CI 内の自リポジトリのテスト成果物に限られる。resolutions による +# major 跨ぎの強制上書きは、上流が検証していない組み合わせをテストランナーへ注入することになるため採らない version: 2 updates: - package-ecosystem: "gradle"