51 lines
3.1 KiB
Markdown
51 lines
3.1 KiB
Markdown
## Why
|
||
|
||
Аудит 20.08.2026 подтвердил high advisories в прямом frontend dependency и
|
||
транзитивной Prisma-цепочке, а также две небезопасные практики с локальными
|
||
runtime-артефактами: tracked frontend `.env` и tracked пустая SQLite DB. Пока
|
||
не проверена применимость advisories и не закреплены безопасные repository
|
||
boundaries, следующий локальный bootstrap или автоматическое обновление может
|
||
создать security regression либо случайно закоммитить локальные данные.
|
||
|
||
## What Changes
|
||
|
||
- Добавить воспроизводимый процесс оценки dependency advisory: зафиксировать
|
||
затронутый package path, применимость к архитектуре WealthLedger, выбранное
|
||
исправление либо принятое исключение и условие его пересмотра.
|
||
- Обновить только подтверждённо безопасные зависимости и lockfiles; не
|
||
применять `npm audit fix --force` и не обновлять Prisma вслепую.
|
||
- **BREAKING** Убрать tracked `frontend/.env`, оставив versioned
|
||
`.env.example`, и исключить рабочие frontend `.env*` из Git с явным
|
||
исключением examples.
|
||
- **BREAKING** Убрать tracked `backend/dev.db`, запретить runtime SQLite
|
||
artifacts во всех поддерживаемых местоположениях и закрепить temporary DB
|
||
policy для локальных тестов.
|
||
- Обновить remediation registry: пока change активен, он является единственным
|
||
active remediation для WL-P2-12, WL-P3-07 и WL-P3-08; completion evidence
|
||
добавляется только после archive.
|
||
|
||
## Capabilities
|
||
|
||
### New Capabilities
|
||
|
||
- `workspace-artifact-hygiene`: безопасное обращение с dependency advisories,
|
||
локальной configuration и runtime SQLite-артефактами в независимых
|
||
frontend/backend Git-репозиториях.
|
||
|
||
### Modified Capabilities
|
||
|
||
_Нет._
|
||
|
||
## Impact
|
||
|
||
- Frontend: `package.json`, `package-lock.json`, `.gitignore`, tracked
|
||
configuration template и regression checks.
|
||
- Backend: Prisma dependency graph при подтверждённом исправлении,
|
||
`.gitignore`, tracked DB artifact и проверка расположения temporary DB.
|
||
- Specs/docs: delta-spec, change design/tasks и актуальный remediation registry.
|
||
|
||
Не изменяются пользовательские HTTP routes, OpenAPI contract, persisted
|
||
production schema, T-Bank integration или deferred Prisma e2e policy. Любое
|
||
обновление Prisma обязано отдельно доказать, что не маскирует WL-P2-05 и не
|
||
объявляет e2e gate восстановленным без выполнения его review trigger.
|