specs/openspec/changes/archive/2026-08-24-address-dependency-advisories-and-repo-hygiene/tasks.md

1. Зафиксировать active remediation scope

• 1.1 Обновить docs/development/audit-remediation.md: пометить только WL-P2-12, WL-P3-07 и WL-P3-08 как active с address-dependency-advisories-and-repo-hygiene; не менять immutable audit snapshot и не добавлять terminal evidence до archive.
• 1.2 Подтвердить baseline независимых Git repositories: зафиксировать installed dependency paths, tracked .env/SQLite inputs и существующие ignore rules без удаления пользовательских local files.

2. Принять доказательное решение по dependency advisories

• 2.1 Для React Router и Prisma/deepmerge-ts собрать текущие primary advisory metadata, affected/fixed ranges, npm audit result и reachability из delivered SPA/backend architecture; записать Audit ID, package path, runtime/build surface и candidate outcome в change evidence.
• 2.2 Выбрать для React Router минимальный поддерживаемый fixed release либо accepted/deferred decision с rationale и review trigger; при upgrade обновить только manifest/lockfile и добавить/скорректировать targeted route regression coverage, необходимую для обнаружения compatibility regression.
• 2.3 Выбрать для Prisma/deepmerge-ts vendor-supported coordinated upgrade либо accepted/deferred decision с rationale и review trigger; не применять blind transitive override или npm audit fix --force, а при upgrade сохранить совместимость prisma, @prisma/client и adapter packages.
• 2.4 После каждого выбранного upgrade выполнить clean install и подтвердить фактический resolved dependency graph; не объявлять WL-P2-05 или WL-P2-13 восстановленными, если их отдельный Prisma trigger не выполнен.

3. Защитить local configuration и SQLite artifacts

• 3.1 Добавить frontend hygiene regression check, который допускает только versioned .env.example, подтверждает ignore для local .env* и падает, если рабочая configuration оказывается tracked.
• 3.2 Перевести frontend на .env.example как единственный versioned template: убедиться в эквивалентном bootstrap value, удалить tracked .env из source control и обновить .gitignore с явным исключением example.
• 3.3 Добавить backend hygiene regression check для tracked SQLite runtime artifacts и ignore patterns root/Prisma locations; check не должен скрывать намеренно versioned text fixtures.
• 3.4 Удалить пустой tracked backend/dev.db, расширить backend ignore policy для SQLite sidecar/runtime files и подтвердить, что documented development/test DB URLs остаются local или temporary и не требуют versioned database.

4. Верификация и completion evidence

• 4.1 Выполнить affected frontend npm run verify, backend non-mutating npm run lint, npm run typecheck:app, npm run typecheck:test и unit tests под Node 22; отдельно записать actual Prisma e2e outcome без выдачи deferred gate за passing.
• 4.2 Выполнить npm ci и relevant audit/dependency graph checks в каждом затронутом application repository, git diff --check, strict change and synced-spec validation с --store wealth-ledger-specs, а также OpenSpec authority verifier; устранить каждый confirmed blocking result.
• 4.3 Провести independent read-only review advisory assessment, dependency/lockfile diff, hygiene checks, .env/SQLite migration и documentation scope; выполнить applicable opsx-verify procedure и устранить blocking findings до archive.

После archive remediation registry получает terminal evidence: archive path, commits, exact commands/results, статусы WL-P2-12, WL-P3-07 и WL-P3-08 и ровно одну следующую рекомендуемую задачу. Это обязательное post-archive действие, а не task checklist, чтобы archive никогда не содержал незавершённую работу.