[P0] 08.frontend. Проверить frontend secrets и dependency risks #4
No Assignees
Notifications
Due Date
No due date set.
Dependencies
No dependencies set.
Reference: WealthLedger/frontend#4
Reference in New Issue
Block a user
Источник: локальный
todo/wealthledger-engineering-improvements.md, пункт 08.frontend, анализ от 13.09.2026. Исходные критерии приведены ниже, чтобы issue не зависела от наличия локального TODO.Что осталось сделать
08.frontend. Проверить frontend secrets и dependency risks. Часть 08.root.
Готово, когда: история/изменения и runtime/dev dependencies проверены,
baseline привязан к revision, прежние решения
WL-P2-12учтены;новые secrets/advisories обрабатываются в CI без вывода секретов.
До публикации или production-доступов — P0.
Gitea API возвращает private=false для всех пяти репозиториев. Условие повышения security baseline до P0 по исходному плану применимо; доступность кода без авторизации отдельно не проверена. Не публиковать найденные значения секретов.
Основание текущего статуса
package.json содержит полный verify и отдельные openapi:generate/openapi:check. Генерация типов читает локальный snapshot; единого экспорта runtime OpenAPI с согласованным обновлением двух файлов пока нет. Node 24 уже принят.
Проверка 13.09.2026: статическая сверка текущих файлов и remediation registry; через MCP проверены репозитории, issues, ветки и Actions workflows. Все пять main-веток имеют protected=false, список workflows пуст, существующих issues не найдено. Внешние CI, server-side updater, история секретов и свежий npm audit этой сверкой не проверялись; полные application gates повторно не запускались.
Проверяемая revision frontend:
117e74cdfc29cbf63f549ea88e8106ab25300541.Remediation registry остаётся владельцем статусов audit findings. Создание issue не означает выполнение или изменение статуса finding. Закрыть после проверки критериев и ссылки на фактические результаты.
Связанные issues
Выполнено 13.09.2026, revision
3be6e61b8fc85d4b16199dbe9910b38894159cb8(commit).Dependencies
7a89356свежий npm audit выявил 3 high affected-package entries: fast-uri, js-yaml и зависимый @redocly/openapi-core (5 distinct advisories).npm ci:npm audit --include=dev --audit-level=low --jsonиnpm audit --omit=dev --json— 0 vulnerabilities, exit 0;npm ls --all --json— exit 0. Все 45 direct dependencies используют exact versions; manifest соответствует lockfile.cee708f94d6bbd4ce6937ff83de6f537f60047105e03b45dc365d1b968b0e47d.Secrets
gitleaks git --log-opts=--all --redact=100 --no-banner— 93 commits, no leaks found, exit 0. Repository не shallow; scope — все локально доступные refs, без обещания проверки удалённых/unreachable объектов.gitleaks dirс полной редакцией — no findings. Последующие изменения проверены Gitleaks в реальном pre-commit и повторным history scan итогового commit. Рабочее дерево после commit чистое.gitleaks git --pre-commit --staged --redact=100 --no-banner; secret finding и отсутствие инструмента блокируют commit.node --test scripts/test-pre-commit.mjsпроверяет чистый index при unstaged-секрете, блокировку staged-секрета до downstream hooks, отсутствие значения в выводе и блокировку без Gitleaks. Synthetic token создаётся в памяти; реальные секреты не используются.CI / verification
npm ci → npm run verify.nvm use --silent:npm ci,KNIP_DISABLE_RAW_TRANSFER=1 npm run verify— PASS: OpenAPI snapshot check, TypeScript, Biome, 46 files / 268 tests, coverage 90.45% statements / 81.44% branches / 85.78% functions / 91.22% lines, Knip, FSD checks, application/Storybook builds.git diff --check— PASS.Критерии #4 выполнены. ADR 014 сохранён: frontend доверяет предоставленному OpenAPI snapshot; backend checkout/SHA/runtime OpenAPI checks не добавлялись. Branch protection/required checks остаются отдельной #2. Предупреждения Renovate об отсутствии GitHub token для metadata/release notes не требуют добавления секретов в репозиторий и не препятствовали выполненным npm-обновлениям.