WealthLedger/main
5
0
Fork 0
Code Issues 10 Pull Requests Actions Packages Projects Releases Wiki Activity

[P1] 09.root. Настроить небольшие регулярные dependency updates #6

New Issue
Closed
opened 2026-09-13 15:33:32 +03:00 by codex-bot · 1 comment
codex-bot commented 2026-09-13 15:33:32 +03:00
Owner
Copy Link
Copy Source

Источник: локальный todo/wealthledger-engineering-improvements.md, пункт 09.root, анализ от 13.09.2026. Исходные критерии приведены ниже, чтобы issue не зависела от наличия локального TODO.

Что осталось сделать

09.root. Настроить небольшие регулярные dependency updates. Размер: S/M. Владелец: root / настройка выбранного Git hosting инструмента.

Выбрать один поддерживаемый hosting инструмент: Renovate, Dependabot или аналог.
Группировать совместимые non-major обновления, major рассматривать отдельно;
сохранять frontend exact versions, lockfiles и реальные gates. Настройка updater
не означает автоматическое принятие всех PR. OpenSpec обновлять с проверкой Store/schema.
Готово, когда: инструмент подключён к нужным repos и общие правила
обновлений заданы; repo-specific проверка PR выполняется в частях 09 ниже.
Зависимость: 04. Основание: A, с. 8, 29; B, с. 7, 30.

Основание текущего статуса

В Gitea workspace представлен репозиторием WealthLedger/main. Локально есть .git, но root AGENTS утверждает обратное; root README отсутствует. Это конфликт описания topology, который нужно явно разрешить при 02. Вложенные frontend/backend/docs/specs остаются независимыми репозиториями.

Проверка 13.09.2026: статическая сверка текущих файлов и remediation registry; через MCP проверены репозитории, issues, ветки и Actions workflows. Все пять main-веток имеют protected=false, список workflows пуст, существующих issues не найдено. Внешние CI, server-side updater, история секретов и свежий npm audit этой сверкой не проверялись; полные application gates повторно не запускались.

Проверяемая revision main: ee2adc9fda6ce319422e5fe89143b9a1584d690f.

Remediation registry остаётся владельцем статусов audit findings. Создание issue не означает выполнение или изменение статуса finding. Закрыть после проверки критериев и ссылки на фактические результаты.

Связанные issues

<!-- wealthledger-engineering-improvements:main:09.root --> Источник: локальный `todo/wealthledger-engineering-improvements.md`, пункт 09.root, анализ от 13.09.2026. Исходные критерии приведены ниже, чтобы issue не зависела от наличия локального TODO. ## Что осталось сделать **09.root. Настроить небольшие регулярные dependency updates.** Размер: S/M. Владелец: root / настройка выбранного Git hosting инструмента. Выбрать один поддерживаемый hosting инструмент: Renovate, Dependabot или аналог. Группировать совместимые non-major обновления, major рассматривать отдельно; сохранять frontend exact versions, lockfiles и реальные gates. Настройка updater не означает автоматическое принятие всех PR. OpenSpec обновлять с проверкой Store/schema. **Готово, когда:** инструмент подключён к нужным repos и общие правила обновлений заданы; repo-specific проверка PR выполняется в частях 09 ниже. **Зависимость:** 04. **Основание:** A, с. 8, 29; B, с. 7, 30. ## Основание текущего статуса В Gitea workspace представлен репозиторием `WealthLedger/main`. Локально есть `.git`, но root AGENTS утверждает обратное; root README отсутствует. Это конфликт описания topology, который нужно явно разрешить при 02. Вложенные frontend/backend/docs/specs остаются независимыми репозиториями. Проверка 13.09.2026: статическая сверка текущих файлов и remediation registry; через MCP проверены репозитории, issues, ветки и Actions workflows. Все пять main-веток имеют protected=false, список workflows пуст, существующих issues не найдено. Внешние CI, server-side updater, история секретов и свежий npm audit этой сверкой не проверялись; полные application gates повторно не запускались. Проверяемая revision main: `ee2adc9fda6ce319422e5fe89143b9a1584d690f`. [Remediation registry](https://git.personal.ksv741.ru/WealthLedger/docs/src/commit/7bc8792b9853768734066c31a323b70886d73a23/development/audit-remediation.md) остаётся владельцем статусов audit findings. Создание issue не означает выполнение или изменение статуса finding. Закрыть после проверки критериев и ссылки на фактические результаты. ## Связанные issues - [backend: [P1] 09.backend. Подключить backend к регулярным dependency updates](https://git.personal.ksv741.ru/WealthLedger/backend/issues/6) - [frontend: [P1] 09.frontend. Подключить frontend к регулярным dependency updates](https://git.personal.ksv741.ru/WealthLedger/frontend/issues/5) - [specs: [P1] 09.specs. Проверять OpenSpec upgrades перед изменением pin](https://git.personal.ksv741.ru/WealthLedger/specs/issues/6) - [docs: [P1] 09.docs. Подключить docs dependencies к регулярным updates](https://git.personal.ksv741.ru/WealthLedger/docs/issues/6) - [main: [P0] 04.root. Согласовать CI для независимых репозиториев](https://git.personal.ksv741.ru/WealthLedger/main/issues/2)
renovate-bot was assigned by hermes-agent 2026-10-12 00:04:35 +03:00
hermes-agent added this to the Инженерная основа и поставка milestone 2026-10-12 00:04:35 +03:00
hermes-agent added this to the WealthLedger — Delivery Board project 2026-10-12 00:04:35 +03:00
hermes-agent added the
Priority
High
2
Kind/Dependencies labels 2026-10-12 00:04:35 +03:00
codex-bot commented 2026-11-03 14:08:08 +03:00
Author
Owner
Copy Link
Copy Source

Done. Merged (squash) into develop of all five repos, branches deleted:

  • main#50 (Closes), backend#160, frontend#137, docs#64, specs#81.

Result against "Готово, когда"

  • Tool: Renovate, already connected to all five repos (kept; no second updater added).
  • Common rules, one renovate.json copy per repo (no shared preset, repos stay independent):
    • non-major grouped: non-major dependencies, non-major github actions, non-major container images; major only after Dependency Dashboard approval;
    • rangeStrategy: pin kept (exact versions + lockfiles); automerge stays off;
    • new: security:minimumReleaseAgeNpm (npm updates wait 3 days), prConcurrentLimit: 5, monthly lockFileMaintenance;
    • no schedule, by owner decision (releases are not calendar-bound).
  • OpenSpec: it is not in any manifest (CI installs the latest CLI after specs#67/PR #78), so Renovate does not manage it; specs#6 closed as obsolete.
  • Rule documented in .ai/conventions/dependencies.md.
  • Repo-specific PR checks stay with the child Issues (backend#6, frontend#5, docs#6 — already closed).

Verification

  • renovate-config-validator --strict (renovate 44.83.0): valid in all five repos.
  • PR CI green before merge: commits/security/verify in backend, frontend, docs, specs; commits in main.
  • git diff --check clean.

Not verified

  • Real Renovate run on the Gitea host (starts only now, after merge to develop); check the Dependency Dashboards (main#43, backend#11, frontend#9, specs#57, docs#11) after its next pass.
  • That the host's Renovate version resolves the security:minimumReleaseAgeNpm preset.
  • Renovate warning "No github.com token configured" (release notes skipped) is a host setting, not part of this task.
Done. Merged (squash) into `develop` of all five repos, branches deleted: - main#50 (`Closes`), backend#160, frontend#137, docs#64, specs#81. ## Result against "Готово, когда" - Tool: Renovate, already connected to all five repos (kept; no second updater added). - Common rules, one `renovate.json` copy per repo (no shared preset, repos stay independent): - non-major grouped: `non-major dependencies`, `non-major github actions`, `non-major container images`; major only after Dependency Dashboard approval; - `rangeStrategy: pin` kept (exact versions + lockfiles); automerge stays off; - new: `security:minimumReleaseAgeNpm` (npm updates wait 3 days), `prConcurrentLimit: 5`, monthly `lockFileMaintenance`; - no schedule, by owner decision (releases are not calendar-bound). - OpenSpec: it is not in any manifest (CI installs the latest CLI after specs#67/PR #78), so Renovate does not manage it; specs#6 closed as obsolete. - Rule documented in `.ai/conventions/dependencies.md`. - Repo-specific PR checks stay with the child Issues (backend#6, frontend#5, docs#6 — already closed). ## Verification - `renovate-config-validator --strict` (renovate 44.83.0): valid in all five repos. - PR CI green before merge: commits/security/verify in backend, frontend, docs, specs; commits in main. - `git diff --check` clean. ## Not verified - Real Renovate run on the Gitea host (starts only now, after merge to `develop`); check the Dependency Dashboards (main#43, backend#11, frontend#9, specs#57, docs#11) after its next pass. - That the host's Renovate version resolves the `security:minimumReleaseAgeNpm` preset. - Renovate warning "No github.com token configured" (release notes skipped) is a host setting, not part of this task.
Sign in to join this conversation.
No Branch/Tag Specified
Branches Tags
Labels
Clear labels
Kind/Dependencies
Dependency update or dependency-management work
 Kind/Investigation
Research or decision required before implementation
 Kind/Process
Developer workflow, CI/CD, tooling, or process improvement
 Kind/Refactor
Internal code or configuration restructuring without new product behavior
 audit/2026-10-11
Technical Audit Remediation — 2026-10-11
 kind/investigation
Нужна проверка evidence до решения; runtime-дефект не утверждается
Compat/Breaking
Breaking change that won't be backward compatible
 Kind/Bug
Something is not working
 Kind/Documentation
Documentation changes
 Kind/Enhancement
Improve existing functionality
 Kind/Feature
New functionality
 Kind/Security
This is security issue
 Kind/Testing
Issue or pull request related to testing
Priority
Critical
1
The priority is critical
Priority
High
2
The priority is high
Priority
Medium
3
The priority is medium
Priority
Low
4
The priority is low
Reviewed
Confirmed
1
Issue has been confirmed
Reviewed
Duplicate
2
This issue or pull request already exists
Reviewed
Invalid
3
Invalid issue
Reviewed
Won't Fix
3
This issue won't be fixed
Status
Blocked
1
Something is blocking this issue or pull request
Status
Need More Info
2
Feedback is required to reproduce issue or to continue work
Status
Abandoned
3
Somebody has started to work on this but abandoned work
No labels Kind/Dependencies
Priority
High
2
Milestone
No items
No Milestone Инженерная основа и поставка
Projects
Clear projects
No projects
WealthLedger — Delivery Board
Бэклог
Assignees
Clear assignees
codex-bot hermes-agent ksv741 publisher-bot renovate-bot
No Assignees renovate-bot
1 Participants
Notifications
Due Date
No due date set.
Dependencies

No dependencies set.

Reference: WealthLedger/main#6