3.1 KiB
3.1 KiB
Why
Аудит 20.08.2026 подтвердил high advisories в прямом frontend dependency и
транзитивной Prisma-цепочке, а также две небезопасные практики с локальными
runtime-артефактами: tracked frontend .env и tracked пустая SQLite DB. Пока
не проверена применимость advisories и не закреплены безопасные repository
boundaries, следующий локальный bootstrap или автоматическое обновление может
создать security regression либо случайно закоммитить локальные данные.
What Changes
- Добавить воспроизводимый процесс оценки dependency advisory: зафиксировать затронутый package path, применимость к архитектуре WealthLedger, выбранное исправление либо принятое исключение и условие его пересмотра.
- Обновить только подтверждённо безопасные зависимости и lockfiles; не
применять
npm audit fix --forceи не обновлять Prisma вслепую. - BREAKING Убрать tracked
frontend/.env, оставив versioned.env.example, и исключить рабочие frontend.env*из Git с явным исключением examples. - BREAKING Убрать tracked
backend/dev.db, запретить runtime SQLite artifacts во всех поддерживаемых местоположениях и закрепить temporary DB policy для локальных тестов. - Обновить remediation registry: пока change активен, он является единственным active remediation для WL-P2-12, WL-P3-07 и WL-P3-08; completion evidence добавляется только после archive.
Capabilities
New Capabilities
workspace-artifact-hygiene: безопасное обращение с dependency advisories, локальной configuration и runtime SQLite-артефактами в независимых frontend/backend Git-репозиториях.
Modified Capabilities
Нет.
Impact
- Frontend:
package.json,package-lock.json,.gitignore, tracked configuration template и regression checks. - Backend: Prisma dependency graph при подтверждённом исправлении,
.gitignore, tracked DB artifact и проверка расположения temporary DB. - Specs/docs: delta-spec, change design/tasks и актуальный remediation registry.
Не изменяются пользовательские HTTP routes, OpenAPI contract, persisted production schema, T-Bank integration или deferred Prisma e2e policy. Любое обновление Prisma обязано отдельно доказать, что не маскирует WL-P2-05 и не объявляет e2e gate восстановленным без выполнения его review trigger.