Abhängigkeitssicherheit
Sicherheitshinweise prüfen, ohne betroffene Pfade zu verbergen.
pnpm check:security führt den Registry-Audit aus und meldet jeden Hinweis. security-advisories.json enthält betroffene Versionen und Abhängigkeitspfade, die erreichbare Operation, das blockierte Eltern-Update und die Prüffrist.
Eine Bewertung gilt nur für diese Pfade und Versionen. Neue Befunde, höhere Schweregrade, neue Pfade und abgelaufene Bewertungen lassen CI scheitern. Ein nicht erreichbarer Audit ebenfalls. Kompatible Updates haben Vorrang; Upstream-Beschränkungen brauchen eine Bewertung statt ungeprüfter Overrides. Die dreitägige Wartefrist bleibt bestehen.
Direkte Actions und wiederverwendbare Workflows sind mit Commit-SHAs und Versionskommentaren fixiert. Dependabot pflegt diese Paare. action-pins.test.ts verhindert variable Referenzen. Zentrale Workflow-Inhalte gehören zum Workflows-Repository; der fixierte Aufrufer fixiert keine variablen transitiven Actions.
Geprüfte Sicherheits-Overrides betreffen einzelne Eltern-Abhängigkeiten in pnpm-workspace.yaml. Wartefrist und Kompatibilitätsprüfungen gelten weiterhin. Nuxt DevTools benötigt zusätzlich den Kompatibilitätspatch, weil simple-git 4 seine Factory als benannten statt als Default-Export bereitstellt. Pin und zugehörigen Patch entfernen, sobald das Elternpaket eine korrigierte Version akzeptiert.
Diese Einstellungen gelten nur für dieses Workspace: Die Installation von @kirchdev/duxt überträgt sie nicht auf dein Projekt. Übernimm die benötigten Overrides in die Root-Konfiguration deines Paketmanagers, einschließlich des DevTools-Patches beim Upgrade seiner simple-git-Abhängigkeit. Prüfe den installierten Graphen per Audit sowie den tatsächlichen Build und Deployment-Adapter; der Audit dieses Repositories ersetzt keinen Audit deines Projekts. Siehe den Geltungsbereich von pnpm-Overrides.