ci: npm の lockfile を上流が解決する状態へ合わせる - #79
Merged
Merged
Conversation
k163377
force-pushed
the
fix/yarn-lock-js-yaml
branch
from
September 12, 2026 13:13
0994843 to
dba4aa1
Compare
k163377
changed the title
lockfile は KGP が宣言する npm 依存の解決結果であり、持ち越した解決ではなくその時点で上流が 解決する状態に合わせる。kotlinUpgradeYarnLock は保存済みの lockfile を復元してから走り、build ディレクトリにも前回の解決が残るため、双方を消してから作り直す。ファイルが無い状態からの生成は Windows では CRLF になるため、LF への正規化まで手順に含める。 Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
レンジ内に修正版があるものは通常の更新と同じ操作で追随できるため、alert 固有の手当ては持たせず 手順は CLAUDE.md を参照する。レンジ外のものは dismiss して上流の追随を待ち、resolutions による 上書きは重大な脆弱性に上流が追随しないときだけの例外として位置付ける。 Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
削除せずに kotlinUpgradeYarnLock を走らせると既存の解決が残り、取り込み時とは別の操作を検証する ことになる。毎回新規のチェックアウトで走るため、消すのは保存側のロックだけでよい。 Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
js-yaml は 4.3.1 から 4.3.2 へ、ansi-regex は 6.2.2 から 6.3.0 へ上がり、js-yaml 側で GHSA-2883-xcg3-v3hh を解消する。 Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
k163377
force-pushed
the
fix/yarn-lock-js-yaml
branch
from
September 12, 2026 13:15
dba4aa1 to
c4b200f
Compare
k163377
changed the title
k163377
marked this pull request as ready for review
September 12, 2026 13:21
This file contains hidden or bidirectional Unicode text that may be interpreted or compiled differently than what appears below. To review, open the file in an editor that reveals hidden Unicode characters.
Learn more about bidirectional Unicode characters
Sign up for free
to join this conversation on GitHub.
Already have an account?
Sign in to comment
1 participant
Add this suggestion to a batch that can be applied as a single commit.This suggestion is invalid because no changes were made to the code.Suggestions cannot be applied while the pull request is closed.Suggestions cannot be applied while viewing a subset of changes.Only one suggestion per line can be applied in a batch.Add this suggestion to a batch that can be applied as a single commit.Applying suggestions on deleted lines is not supported.You must change the existing code in this line in order to create a valid suggestion.Outdated suggestions cannot be applied.This suggestion has been applied or marked resolved.Suggestions cannot be applied from pending reviews.Suggestions cannot be applied on multi-line comments.Suggestions cannot be applied while the pull request is queued to merge.Suggestion cannot be applied right now. Please check back later.
概要
npm の lockfile を、持ち越した解決ではなくその時点で上流が解決する状態へ合わせる。
手順を規約として定め、alerts の捌き方と先行検証をその手順へ揃えたうえで、実際に作り直す。
手順
kotlinUpgradeYarnLockは保存済みの lockfile を復元してから走り、build/js/build/wasmにも前回の解決が残るため、双方を消してから実行する。
build/js/yarn.lockの解決が使われるファイルが無い状態からの生成は Windows では CRLF になるため、LF へ正規化する。
CI は毎回新規のチェックアウトで走るので、消すのは保存側だけでよい。
変更
CLAUDE.md: 上記の更新手順を規約として定める.github/dependabot.yml: レンジ内に修正版がある alert は通常の更新と同じ操作で追随するものとし、alert 固有の手当ては持たせない。
resolutionsによる上書きは、重大な脆弱性に上流が追随しないときだけの例外として位置付ける
.github/workflows/kotlin-prerelease.yml: 先行検証の作り直しを取り込み時と同じ操作へ揃えるkotlin-js-store/yarn.lock/integration-test/kotlin-js-store/yarn.lock: 作り直し。js-yaml 4.3.1→4.3.2、ansi-regex 6.2.2→6.3.0（両ビルドで同一）。js-yaml 側で
GHSA-2883-xcg3-v3hh（alert build(deps): Bump org.apache.maven:maven-core from 3.9.12 to 3.9.16 #21 / build: maven 版を kotlin-maven-plugin の親 POM からの導出へ寄せる #22）を解消する
検証
./gradlew build./gradlew -p integration-test build -x :gradle-integration:test -x :maven-integration:testrunの展開結果をローカルで確認配布物に載らない変更のため CHANGELOG のエントリは無し。
🤖 Generated with Claude Code