Repository navigation
chore(deps): bump postcss from 8.5.16 to 8.5.26 in /app - #133
dependabot[bot] wants to merge 1 commit into
Conversation
Bumps [postcss](https://github.com/postcss/postcss) from 8.5.16 to 8.5.26. - [Release notes](https://github.com/postcss/postcss/releases) - [Changelog](https://github.com/postcss/postcss/blob/main/CHANGELOG.md) - [Commits](postcss/postcss@8.5.16...8.5.26) --- updated-dependencies: - dependency-name: postcss dependency-version: 8.5.26 dependency-type: indirect ... Signed-off-by: dependabot[bot] <support@github.com>
dependabot
Bot
added
dependencies
guifav
left a comment
guifav
left a comment
There was a problem hiding this comment.
@dependabot review da Daisy — commit cec4eb9e
Resumo: Bump postcss 8.5.16→8.5.26 em /app (transitivo: nanoid 3.3.15→3.3.18). CI vermelho no step "Verify third-party license inventory" do lint-test-build — o bump altera a árvore de deps sem regenerar docs/THIRD-PARTY-LICENSES.md (gate documentado deste repo desde 2026-07-13; mesma causa dos bloqueios de #70/#72/#73/#74/#75/#93).
Contexto considerado: diff do PR, checks do head, memory/talkwithdata.md (gate de inventário de licença) | Cross-project: nenhum | Notion: sem projeto correlacionado
Validacao local:
- install: n/a (review via CI + diff)
- tests: n/a
- lint: n/a
- tsc: n/a
- build: CI fail — step
Verify third-party license inventory(demais jobs verdes: browser-e2e, docker-image-smoke, functions-generate-thumbnail)
Bloqueadores (P1):
- Inventário de licenças stale quebra o gate de CI. Regenerar no branch:
cd app && node ../scripts/generate-third-party-licenses.mjs(ou caminho equivalente ao do script no repo), commitardocs/THIRD-PARTY-LICENSES.mdatualizado e empurrar — dependabot não faz isso sozinho. Sem CI verde, não mergear (regra deste repo).
Veredito: bloqueado
roger-guifav
left a comment
roger-guifav
left a comment
There was a problem hiding this comment.
TL;DR
Atualização de uma biblioteca usada só na montagem do CSS do app (postcss), que também traz a correção de segurança do nanoid. O risco do bump em si é baixo e a suíte de testes passa. Mas o PR não pode ser mergeado agora: o documento obrigatório do repo que lista as licenças das dependências ficou desatualizado e derruba a verificação automática. Falta regenerar esse documento no próprio branch.
Verdict: Ajustes necessários
(revisado no head SHA cec4eb9)
Parecer
Bump de patch do postcss 8.5.16 para 8.5.26 no diretório app, com nanoid 3.3.15 para 3.3.18 como transitiva — o postcss novo exige nanoid pelo menos 3.3.17, o que carrega uma correção de segurança pública do nanoid. Ambas são indiretas: postcss entra na pipeline de CSS do build e nanoid só existe por causa dele; o código-fonte do app não importa nenhuma das duas. A série 8.5.x é só de correções, então o risco é baixo. Fatos fora do diff: o repo exige inventário de licenças byte a byte e a fila de bumps está parada nesse gate; revisão anterior neste head apontou a mesma causa. Nota de sequenciamento: este PR e o bump de nanoid puro mexem nas mesmas linhas do lockfile do app — mergear um obriga rebase do outro, em qualquer ordem. Pergunta de merge: mergearia depois do inventário regenerado e do CI verde.
Críticos (P0)
Nenhum.
Bloqueadores de correção (P1)
- Inventário de licenças desatualizado derruba o job principal de CI. O passo de verificação do inventário falha com a mensagem de documento desatualizado, porque o lockfile mudou sem regenerar docs/THIRD-PARTY-LICENSES.md. Reproduzido localmente neste head; na mesma fila de bumps foi comprovado que regenerar o documento faz a verificação passar. Ação: rodar scripts/generate-third-party-licenses.mjs na raiz do branch do PR, commitar o documento atualizado e empurrar. Sem CI verde, não mergear.
Endereçar no PR (P2)
Nenhum.
Endereçar no PR (P3 / nits)
Nenhum.
Acoes que somente o humano pode fazer (ainda...)
- Regenerar o inventário de licenças no branch do PR; o bot de dependências não faz esse commit.
- Após mergear este ou o bump de nanoid puro, pedir rebase do outro, pois os dois tocam a mesma entrada do lockfile.
- Decisão estrutural pendente: automatizar a regeneração no workflow ou aceitar intervenção manual em cada bump; sem isso, a fila de bumps do repo continua parada no mesmo gate.
Verificado
- Diff: somente app/package-lock.json (postcss 8.5.16 para 8.5.26, nanoid 3.3.15 para 3.3.18, piso de nanoid do postcss subiu para a faixa 3.3.17).
- CI neste head: lint-test-build falha no passo de verificação do inventário de licenças; browser-e2e, docker-image-smoke e functions-generate-thumbnail verdes.
- Local no head (worktree isolada): npm ci limpo; geração do client do Prisma ok; tsc --noEmit 0 erros; eslint com teto de zero avisos limpo; vitest 680 passados, 0 falhas, 8 pulados numa corrida limpa (a primeira corrida teve 4 falhas intermitentes não reproduzidas na repetição idêntica); verificação de licenças reproduz a falha de documento desatualizado.
- Changelog: série 8.5.x do postcss só com correções; nanoid 3.3.18 fecha a falha de loop infinito com tamanho zero.
Roger (Hermes KVM) - review v2 - cec4eb9
2 participants
Bumps postcss from 8.5.16 to 8.5.26.
Release notes
Sourced from postcss's releases.
Changelog
Sourced from postcss's changelog.
Commits
07b2577Release 8.5.26 version47de6b9Update CI1493a83Fix Rule#selectors losing the empty selector (#2129)180db16Typo29e9e00Resolve symlinks before the previous-source-map containment check (#2125)3ba8f84Update dependencies87e72f6Update lock filecaaeeb9Upgrade nanoid to fix infinite loop on zero size (#2124)3609b6fExplain how to type plugin optionsfbad419docs: show ESM and TypeScript plugin declaration (#2118)Dependabot will resolve any conflicts with this PR as long as you don't alter it yourself. You can also trigger a rebase manually by commenting
@dependabot rebase.Dependabot commands and options
You can trigger Dependabot actions by commenting on this PR:
@dependabot rebasewill rebase this PR@dependabot recreatewill recreate this PR, overwriting any edits that have been made to it@dependabot show <dependency name> ignore conditionswill show all of the ignore conditions of the specified dependency@dependabot ignore this major versionwill close this PR and stop Dependabot creating any more for this major version (unless you reopen the PR or upgrade to it yourself)@dependabot ignore this minor versionwill close this PR and stop Dependabot creating any more for this minor version (unless you reopen the PR or upgrade to it yourself)@dependabot ignore this dependencywill close this PR and stop Dependabot creating any more for this dependency (unless you reopen the PR or upgrade to it yourself)You can disable automated security fix PRs for this repo from the Security Alerts page.