## 1. Зафиксировать active remediation scope

- [x] 1.1 Обновить `docs/development/audit-remediation.md`: пометить только
  WL-P2-12, WL-P3-07 и WL-P3-08 как `active` с
  `address-dependency-advisories-and-repo-hygiene`; не менять immutable audit
  snapshot и не добавлять terminal evidence до archive.
- [x] 1.2 Подтвердить baseline независимых Git repositories: зафиксировать
  installed dependency paths, tracked `.env`/SQLite inputs и существующие
  ignore rules без удаления пользовательских local files.

## 2. Принять доказательное решение по dependency advisories

- [x] 2.1 Для React Router и Prisma/deepmerge-ts собрать текущие primary
  advisory metadata, affected/fixed ranges, `npm audit` result и reachability
  из delivered SPA/backend architecture; записать Audit ID, package path,
  runtime/build surface и candidate outcome в change evidence.
- [x] 2.2 Выбрать для React Router минимальный поддерживаемый fixed release
  либо accepted/deferred decision с rationale и review trigger; при upgrade
  обновить только manifest/lockfile и добавить/скорректировать targeted route
  regression coverage, необходимую для обнаружения compatibility regression.
- [x] 2.3 Выбрать для Prisma/deepmerge-ts vendor-supported coordinated upgrade
  либо accepted/deferred decision с rationale и review trigger; не применять
  blind transitive override или `npm audit fix --force`, а при upgrade сохранить
  совместимость `prisma`, `@prisma/client` и adapter packages.
- [x] 2.4 После каждого выбранного upgrade выполнить clean install и
  подтвердить фактический resolved dependency graph; не объявлять WL-P2-05 или
  WL-P2-13 восстановленными, если их отдельный Prisma trigger не выполнен.

## 3. Защитить local configuration и SQLite artifacts

- [x] 3.1 Добавить frontend hygiene regression check, который допускает только
  versioned `.env.example`, подтверждает ignore для local `.env*` и падает,
  если рабочая configuration оказывается tracked.
- [x] 3.2 Перевести frontend на `.env.example` как единственный versioned
  template: убедиться в эквивалентном bootstrap value, удалить tracked `.env`
  из source control и обновить `.gitignore` с явным исключением example.
- [x] 3.3 Добавить backend hygiene regression check для tracked SQLite runtime
  artifacts и ignore patterns root/Prisma locations; check не должен скрывать
  намеренно versioned text fixtures.
- [x] 3.4 Удалить пустой tracked `backend/dev.db`, расширить backend ignore
  policy для SQLite sidecar/runtime files и подтвердить, что documented
  development/test DB URLs остаются local или temporary и не требуют
  versioned database.

## 4. Верификация и completion evidence

- [x] 4.1 Выполнить affected frontend `npm run verify`, backend non-mutating
  `npm run lint`, `npm run typecheck:app`, `npm run typecheck:test` и unit
  tests под Node 22; отдельно записать actual Prisma e2e outcome без выдачи
  deferred gate за passing.
- [x] 4.2 Выполнить `npm ci` и relevant audit/dependency graph checks в
  каждом затронутом application repository, `git diff --check`, strict change
  and synced-spec validation с `--store wealth-ledger-specs`, а также OpenSpec
  authority verifier; устранить каждый confirmed blocking result.
- [x] 4.3 Провести independent read-only review advisory assessment,
  dependency/lockfile diff, hygiene checks, `.env`/SQLite migration и
  documentation scope; выполнить applicable `opsx-verify` procedure и
  устранить blocking findings до archive.

После archive remediation registry получает terminal evidence: archive path,
commits, exact commands/results, статусы WL-P2-12, WL-P3-07 и WL-P3-08 и ровно
одну следующую рекомендуемую задачу. Это обязательное post-archive действие, а
не task checklist, чтобы archive никогда не содержал незавершённую работу.