fix: package.json und package-lock.json wieder in Einklang bringen (main ist rot)

[daimpad]

main ist derzeit rot. Der SHACL-Job scheitert seit dem Merge von #107 an npm ci:

npm error `npm ci` can only install packages when your package.json and
package-lock.json are in sync.
npm error Invalid: lock file's rdf-validate-shacl@0.6.5 does not satisfy rdf-validate-shacl@0.5.10
npm error Missing: @rdfjs/types@1.1.2 from lock file

Wie es dazu kam

Zwei npm-Pull-Requests wurden kurz nacheinander gemergt:

• chore(deps-dev): Bump rdf-validate-shacl from 0.5.10 to 0.6.5 in the npm-werkzeuge group #106 hob rdf-validate-shacl in package.json von ^0.5.5 auf ^0.6.5 und aktualisierte die Lock-Datei entsprechend.
• chore(deps-dev): Bump @zazuko/env-node from 2.1.5 to 3.1.0 #107 hob @zazuko/env-node auf ^3.1.0 — ausgehend von einem Stand, in dem noch ^0.5.5 stand.

Beim Merge von #107 nach main gewann dessen package.json-Fassung. Damit wurde die Änderung aus #106 stillschweigend zurückgenommen, während dessen Lock-Eintrag 0.6.5 erhalten blieb. Danach verlangte package.json ein ^0.5.5, das die Lock-Datei mit 0.6.5 nicht erfüllt — und npm ci verweigert den Dienst.

Beide Merges wollten also etwas anderes als das, was herauskam.

Was dieser PR macht

Stellt die Absicht beider wieder her: rdf-validate-shacl ^0.6.5 und @zazuko/env-node ^3.1.0, Lock-Datei neu erzeugt.

Die naheliegende Alternative wäre gewesen, nur die Lock-Datei auf ^0.5.5 zurückzurechnen — das hätte die CI ebenso repariert, aber das Upgrade aus #106 verworfen, und Dependabot hätte es kommende Woche erneut vorgeschlagen.

Verifiziert

Dass beide Upgrades zusammen tragen, war nicht selbstverständlich: @zazuko/env-node 2 → 3 ist ein Major-Sprung, und rdf-validate-shacl 0.5 → 0.6 gilt bei 0.x-Paketen ebenfalls als brechend. Lokal geprüft:

• npm ci läuft durch (Exit 0)
• SHACL-Validierung: 60 NodeShapes aus 6 Dateien geladen wie zuvor, alle drei Fixtures conforms, 0 Violations
• Zusätzlich der gesamte Rest gegen diesen Stand: PHPUnit 199 Tests / 1633 Assertions grün, PHPStan 2.2.8 Level 6 ohne Befund, PHPCS 3.13.6 über 35 Dateien ohne Verstoß, Feld-Katalog und Feld-Referenz deckungsgleich, bin/check-i18n.py bei 0

Kein Versionssprung

Reine Entwicklungsabhängigkeiten — am ausgelieferten Plugin ändert sich nichts, der Release-Workflow überspringt den Bau entsprechend.

Beobachtung für später

Das Muster wiederholt sich, sobald zwei npm-Updates in derselben Woche eintreffen. Wenn das stört, lässt es sich in .github/dependabot.yml entschärfen, indem alle npm-Abhängigkeiten in eine Gruppe wandern statt nach Typ getrennt — dann erzeugt Dependabot einen Pull Request statt zweier konkurrierender. Sagen Sie Bescheid, dann reiche ich das nach.

🤖 Generated with Claude Code

https://claude.ai/code/session_01JB1xUQM892bVZ4Yv3MZjvq

---

Generated by Claude Code