ci: verify docs and secure dependency updates #1 #5 #6

2026-09-13 19:58:30 +03:00
parent cf3335afdc
commit c0a8cdb683
6 changed files with 125 additions and 4 deletions
@@ -163,3 +163,22 @@ npm run verify
 разработчик от вопроса к объяснению и требованию; агент от типа задачи к нужным
 ограничениям, ADR и репозиторию. Отчёт различает синтаксис, ссылки, рендер,
 смысловую сверку и оставшиеся ограничения.
+
+### CI и обновления зависимостей
+
+`.gitea/workflows/verify.yml` запускает этот gate на каждом push ветки с Node
+из `.nvmrc` и установкой через `npm ci`. Checkout docs размещается внутри
+workspace из `WealthLedger/main`, рядом с frontend, backend и specs. Соседние
+репозитории берутся из `main`; SHA всех пяти участников сохраняются в логе.
+Ошибка checkout, Markdown или относительной ссылки завершает job с FAIL.
+Это проверка ссылок на выбранные revisions, без Mermaid-render и semantic review.
+
+`security.yml` при push, PR и ежедневно проверяет всю Git-историю через
+Gitleaks 8.30.1 с redacted-выводом и все npm dependencies через
+`npm audit --include=dev --audit-level=low`. Override `smol-toml` исправляет
+DoS в TOML parser markdownlint-cli2; его можно удалить, когда родительский
+пакет примет исправленную версию.
+
+Renovate объединяет minor/patch updates; major требует согласования в
+Dependency Dashboard, automerge не включён. Required checks включаются
+отдельно в Gitea; workflow сам по себе не запрещает merge.