Repository navigation
前端 npm audit 预存红收敛:非 force 可修的 brace-expansion / sharp / source-map-js #103
Description
背景
security-scan 作业因前端 npm audit 持续红(合并需 --admin 越门)。当前 8 个 high 分四组,其中三组有非破坏性修复:
| 包 | advisory | 修复 |
|---|---|---|
| brace-expansion(2 处) | GHSA-q2hr/qhr7/6j4f(DoS) | npm audit fix,补丁版已发布 |
| sharp <0.35.5 | GHSA-wq5f(librsvg CVE-2026-96889) | 0.35.5 即修复版 |
| source-map-js 1.0.0-1.2.1 | GHSA-68fv(事件循环 DoS) | npm audit fix |
| braces 链(5 个) | GHSA-vfj7-8cjw-p6xm | 上游无补丁(braces 3.0.3 后未发版),维持预存红 |
目标
- 非 force 修掉前三个包,audit 从 8 high 降到 5(仅剩无解的 braces 链)
- 同步更新 AGENTS.md 4.4 的预存红描述(现状已从 6 漂移到 8,修后为 5)
- 前端门禁不回归:tsc + vitest 覆盖率全绿
验收
- CI security-scan 的前端 audit 输出仅剩 braces 链
- frontend-types / frontend-tests 绿
Activity
fxbin commentedon Oct 8, 2026
无需推进:非 force 可修部分(brace-expansion/sharp/next)已由 #101/#102 合并完成,main 最新 CI 前端只剩 braces 链 5 个 high(上游无补丁,唯一修法是已否决的 --force 降级,见 .agents/notes/rejected/)。AGENTS.md 4.4 描述与现状一致。本 issue 由 MCP server 验证期间基于旧快照开出,已过时。