WealthLedger/backend
5
0
Fork 0
Code Issues 7 Pull Requests 1 Actions 1 Packages Projects Releases Wiki Activity

[Engineering] Убрать устаревшее исключение GHSA-hp3w-g68c-fv3c из npm audit в CI #158

New Issue
Closed
opened 2026-11-03 11:08:07 +03:00 by codex-bot · 1 comment
codex-bot commented 2026-11-03 11:08:07 +03:00
Owner
Copy Link
Copy Source

Контекст и результат

В .gitea/workflows/verify.yml (job security) dev-аудит запускается с --ignore-advisory=GHSA-hp3w-g68c-fv3c. Исключение добавил коммит 85858a1 («unblock backend dependency audit», 2026-10-09); причины и условия пересмотра нигде не записаны, а main#5 требует их для любых исключений.

Проверка на develop aeb4647: advisory GHSA-hp3w-g68c-fv3c больше не присутствует в выводе npm audit --include=dev --json, и npm audit --include=dev --audit-level=high без флага завершается с rc=0 (0 high/critical; остаются 2 moderate advisory: glob GHSA-3g3m-2fjr-6pw4, minimatch GHSA-g3hv-75wg-m249, ниже порога). Runtime-аудит: 0 уязвимостей.

Результат: исключение удалено, аудит CI работает без обходов.

Scope / связанные Issues (если есть)

  • Родитель: WealthLedger/main#5 (08.root); дочерний backend#5 уже закрыт.
  • Только строка в verify.yml. Пороги (--audit-level), Gitleaks и lock-файл не меняются.

Acceptance Criteria

  • Флаг --ignore-advisory=GHSA-hp3w-g68c-fv3c удалён из verify.yml.
  • npm audit --omit=dev --audit-level=low и npm audit --include=dev --audit-level=high проходят локально и в CI security.
## Контекст и результат В `.gitea/workflows/verify.yml` (job `security`) dev-аудит запускается с `--ignore-advisory=GHSA-hp3w-g68c-fv3c`. Исключение добавил коммит `85858a1` («unblock backend dependency audit», 2026-10-09); причины и условия пересмотра нигде не записаны, а main#5 требует их для любых исключений. Проверка на develop `aeb4647`: advisory GHSA-hp3w-g68c-fv3c больше не присутствует в выводе `npm audit --include=dev --json`, и `npm audit --include=dev --audit-level=high` без флага завершается с rc=0 (0 high/critical; остаются 2 moderate advisory: `glob` GHSA-3g3m-2fjr-6pw4, `minimatch` GHSA-g3hv-75wg-m249, ниже порога). Runtime-аудит: 0 уязвимостей. Результат: исключение удалено, аудит CI работает без обходов. ## Scope / связанные Issues (если есть) - Родитель: WealthLedger/main#5 (08.root); дочерний backend#5 уже закрыт. - Только строка в `verify.yml`. Пороги (`--audit-level`), Gitleaks и lock-файл не меняются. ## Acceptance Criteria - [x] Флаг `--ignore-advisory=GHSA-hp3w-g68c-fv3c` удалён из `verify.yml`. - [x] `npm audit --omit=dev --audit-level=low` и `npm audit --include=dev --audit-level=high` проходят локально и в CI `security`.
codex-bot commented 2026-11-03 12:04:22 +03:00
Author
Owner
Copy Link
Copy Source

Done in PR #159 (squash, develop 1a5de9b). CI (commits, security, verify) green before merge.

  • .gitea/workflows/verify.yml: removed --ignore-advisory=GHSA-hp3w-g68c-fv3c; dev audit is now npm audit --include=dev --audit-level=high. Thresholds, Gitleaks and the lock file were not changed.
  • Local on develop aeb4647: npm audit --omit=dev --audit-level=low rc=0 (0 vulnerabilities); npm audit --include=dev --audit-level=high rc=0 without the flag; the security job passed in CI on the PR.
  • Limits: 2 moderate dev advisories remain (glob GHSA-3g3m-2fjr-6pw4, minimatch GHSA-g3hv-75wg-m249), below the high threshold; regular dependency updates are tracked in WealthLedger/main#6.
Done in PR #159 (squash, develop `1a5de9b`). CI (commits, security, verify) green before merge. - `.gitea/workflows/verify.yml`: removed `--ignore-advisory=GHSA-hp3w-g68c-fv3c`; dev audit is now `npm audit --include=dev --audit-level=high`. Thresholds, Gitleaks and the lock file were not changed. - Local on develop `aeb4647`: `npm audit --omit=dev --audit-level=low` rc=0 (0 vulnerabilities); `npm audit --include=dev --audit-level=high` rc=0 without the flag; the `security` job passed in CI on the PR. - Limits: 2 moderate dev advisories remain (`glob` GHSA-3g3m-2fjr-6pw4, `minimatch` GHSA-g3hv-75wg-m249), below the `high` threshold; regular dependency updates are tracked in WealthLedger/main#6.
Sign in to join this conversation.
No Branch/Tag Specified
Branches Tags
Labels
Clear labels
Kind/Dependencies
Dependency update or dependency-management work
 Kind/Investigation
Research or decision required before implementation
 Kind/Process
Developer workflow, CI/CD, tooling, or process improvement
 Kind/Refactor
Internal code or configuration restructuring without new product behavior
 audit/2026-10-11
Technical Audit Remediation — 2026-10-11
 kind/investigation
Нужна проверка evidence до решения; runtime-дефект не утверждается
Compat/Breaking
Breaking change that won't be backward compatible
 Kind/Bug
Something is not working
 Kind/Documentation
Documentation changes
 Kind/Enhancement
Improve existing functionality
 Kind/Feature
New functionality
 Kind/Security
This is security issue
 Kind/Testing
Issue or pull request related to testing
Priority
Critical
1
The priority is critical
Priority
High
2
The priority is high
Priority
Medium
3
The priority is medium
Priority
Low
4
The priority is low
Reviewed
Confirmed
1
Issue has been confirmed
Reviewed
Duplicate
2
This issue or pull request already exists
Reviewed
Invalid
3
Invalid issue
Reviewed
Won't Fix
3
This issue won't be fixed
Status
Blocked
1
Something is blocking this issue or pull request
Status
Need More Info
2
Feedback is required to reproduce issue or to continue work
Status
Abandoned
3
Somebody has started to work on this but abandoned work
No labels
Milestone
No items
No Milestone
Projects
Clear projects
No projects
Assignees
Clear assignees
codex-bot hermes-agent ksv741 publisher-bot renovate-bot
No Assignees
1 Participants
Notifications
Due Date
No due date set.
Dependencies

No dependencies set.

Reference: WealthLedger/backend#158