Seguridad de dependencias
Revisar avisos sin ocultar las rutas afectadas.
pnpm check:security ejecuta la auditoría del registro y muestra cada aviso. security-advisories.json contiene versiones y rutas afectadas, la operación alcanzable, la actualización bloqueada del paquete padre y la fecha de revisión.
La revisión solo cubre esas rutas y versiones. Avisos nuevos, mayor gravedad, rutas nuevas y revisiones vencidas hacen fallar CI. También falla una auditoría sin acceso al registro. Primero se actualizan dependencias compatibles; una restricción upstream exige evaluación, no una sustitución sin probar. Se mantienen los tres días de espera.
Las Actions directas y los workflows reutilizables usan SHA de commit con comentarios de versión. Dependabot mantiene los pares. action-pins.test.ts impide referencias variables. Los cuerpos centrales pertenecen al repositorio de workflows; fijar el llamador no fija sus Actions transitivas variables.
Los overrides de seguridad revisados afectan a dependencias de padres concretos en pnpm-workspace.yaml. Se mantienen la espera de publicación y las pruebas de compatibilidad. Nuxt DevTools también necesita el parche de compatibilidad, porque simple-git 4 ofrece una factory con nombre en lugar del export predeterminado. Elimina el pin y su parche cuando el padre acepte una versión corregida.
Estos ajustes solo se aplican a este workspace: instalar @kirchdev/duxt no los transfiere a tu proyecto. Aplica los overrides necesarios en la configuración raíz de tu gestor, con el parche DevTools si actualizas su dependencia simple-git. Audita el grafo instalado y prueba el build y el adaptador de despliegue reales; la auditoría de este repositorio no sustituye la de tu proyecto. Consulta el alcance de los overrides de pnpm.