ci: verify backend and secure dependency updates #1 #5 #6

README.md

@@ -37,6 +37,28 @@ threshold. `npm run test:e2e` отдельно проверяет все HTTP su
 выполните обе команды. Результаты — в
 [remediation registry](../docs/development/audit-remediation.md).
 
+### CI и обновления зависимостей
+
+`.gitea/workflows/verify.yml` запускает `npm ci`, генерацию Prisma client,
+`npm run verify` и `npm run test:e2e` на каждом push ветки. Frontend snapshot
+берётся из `main` соседнего репозитория; лог сохраняет оба SHA. Изменение
+контракта согласуется с этой frontend revision. Успешный unit gate не заменяет
+SQLite/e2e; ошибка любой suite завершает job с FAIL.
+
+`security.yml` сканирует всю Git-историю Gitleaks 8.30.1 с полностью скрытыми
+значениями и выполняет `npm audit --include=dev --audit-level=low` при push,
+PR и ежедневно. `.gitleaksignore` перечисляет только проверенные исторические
+совпадения: детерминированные fixtures, placeholder и badge из Nest starter.
+Новые коммиты этими исключениями не покрываются.
+
+Renovate группирует minor/patch updates, а major требует согласования в
+Dependency Dashboard. Автоматический merge не включён. Overrides в
+`package.json` закрывают advisories транзитивных `multer`, `deepmerge-ts`,
+`mysql2` и `js-yaml`; удаляйте их, когда родительские пакеты примут исправленные
+версии. Совместимость Prisma override проверяется генерацией и SQLite migrations.
+Required checks настраиваются отдельно в Gitea: наличие workflow само по себе
+не блокирует merge.
+
 Общий `tsconfig.json` включает `strict: true` и `noFallthroughCasesInSwitch`
 для приложения, тестов и сборок. ESLint запрещает non-null assertions
 (`value!`) и definite-assignment assertions (`field!: Type`).