`pnpm check:security` audita o registo e mostra cada aviso. `security-advisories.json` contém versões e caminhos afetados, a operação acessível, a atualização bloqueada do pacote principal e a data de revisão.

A revisão cobre apenas esses caminhos e versões. Novos avisos, maior gravidade, novos caminhos e revisões expiradas fazem falhar CI, tal como um registo inacessível. Atualizam-se primeiro as dependências compatíveis; uma restrição upstream exige avaliação, não uma substituição sem testes. Mantém-se a espera de três dias.

As Actions diretas e workflows reutilizáveis usam SHA de commit com comentários de versão. Dependabot mantém os pares. `action-pins.test.ts` impede referências variáveis. Os corpos centrais pertencem ao repositório workflows; fixar o chamador não fixa as suas Actions transitivas variáveis.

Os overrides de segurança revistos abrangem dependências de pais específicos em [pnpm-workspace.yaml](https://github.com/kirchDev/duxt/blob/dev/pnpm-workspace.yaml). Mantêm-se a espera após publicação e os testes de compatibilidade. Nuxt DevTools precisa também do [patch de compatibilidade](https://github.com/kirchDev/duxt/blob/dev/patches/%40nuxt__devtools%403.4.2.patch), pois simple-git 4 expõe uma factory nomeada em vez do export predefinido. Remove o pin e o respetivo patch quando o pacote pai aceitar uma versão corrigida.

Estas definições aplicam-se apenas a este workspace: instalar `@kirchdev/duxt` não as transfere para o teu projeto. Aplica os overrides necessários na configuração raiz do teu gestor, incluindo o patch DevTools se atualizares a dependência simple-git. Audita o grafo instalado e testa o build e o adaptador de implantação reais; a auditoria deste repositório não substitui a do teu projeto. Consulta [o âmbito dos overrides pnpm](https://pnpm.io/settings/dependency-resolution).