Segurança das dependências

pnpm check:security audita o registo e mostra cada aviso. security-advisories.json contém versões e caminhos afetados, a operação acessível, a atualização bloqueada do pacote principal e a data de revisão.

A revisão cobre apenas esses caminhos e versões. Novos avisos, maior gravidade, novos caminhos e revisões expiradas fazem falhar CI, tal como um registo inacessível. Atualizam-se primeiro as dependências compatíveis; uma restrição upstream exige avaliação, não uma substituição sem testes. Mantém-se a espera de três dias.

As Actions diretas e workflows reutilizáveis usam SHA de commit com comentários de versão. Dependabot mantém os pares. action-pins.test.ts impede referências variáveis. Os corpos centrais pertencem ao repositório workflows; fixar o chamador não fixa as suas Actions transitivas variáveis.

Os overrides de segurança revistos abrangem dependências de pais específicos em pnpm-workspace.yaml. Mantêm-se a espera após publicação e os testes de compatibilidade. Nuxt DevTools precisa também do patch de compatibilidade, pois simple-git 4 expõe uma factory nomeada em vez do export predefinido. Remove o pin e o respetivo patch quando o pacote pai aceitar uma versão corrigida.

Estas definições aplicam-se apenas a este workspace: instalar @kirchdev/duxt não as transfere para o teu projeto. Aplica os overrides necessários na configuração raiz do teu gestor, incluindo o patch DevTools se atualizares a dependência simple-git. Audita o grafo instalado e testa o build e o adaptador de implantação reais; a auditoria deste repositório não substitui a do teu projeto. Consulta o âmbito dos overrides pnpm.