插队优先。 #4917 的 dev 于 PR #5031 上实测:Validate Package Dependencies 红,osv-scanner 报 pnpm-lock.yaml 中 fast-uri / hono / undici 的既有公告;同一 job 在无关的 PR #5027 上同红,且 #5031 的 lockfile 增量只有本包 devDeps 的 importer 块 —— 即 main 上先存在,对每个触发该 job 的 PR 都红。
与 #4945(brace-expansion,昨日已修)完全同型。修法同款:pnpm why 定传递路径,抬 lockfile 解析版本(或 pnpm-workspace.yaml override —— 注意 #4961 的教训:override 上界不要写成 <FIXED_VERSION 排他形式,那会在钉住的版本自己出公告时自我失效);若某条公告无修复版本,不要硬抬 —— 那正是 #4965(豁免约定,实施中)要管的场景,列出来等它。
验证标准照 #4961:本地跑 workflow 同版本 scanner,before 红 / after 绿;pnpm install --frozen-lockfile 自洽;抽查受影响包的消费者(hono 是 rest 层的真实依赖,跑 pnpm --filter @objectstack/hono test 一类)。
认领(PM 分派)
插队优先。 #4917 的 dev 于 PR #5031 上实测:
Validate Package Dependencies红,osv-scanner 报pnpm-lock.yaml中 fast-uri / hono / undici 的既有公告;同一 job 在无关的 PR #5027 上同红,且 #5031 的 lockfile 增量只有本包 devDeps 的 importer 块 —— 即 main 上先存在,对每个触发该 job 的 PR 都红。与 #4945(brace-expansion,昨日已修)完全同型。修法同款:
pnpm why定传递路径,抬 lockfile 解析版本(或pnpm-workspace.yamloverride —— 注意 #4961 的教训:override 上界不要写成<FIXED_VERSION排他形式,那会在钉住的版本自己出公告时自我失效);若某条公告无修复版本,不要硬抬 —— 那正是 #4965(豁免约定,实施中)要管的场景,列出来等它。验证标准照 #4961:本地跑 workflow 同版本 scanner,before 红 / after 绿;
pnpm install --frozen-lockfile自洽;抽查受影响包的消费者(hono 是 rest 层的真实依赖,跑pnpm --filter @objectstack/hono test一类)。认领(PM 分派)
session_018iARDqtrhQgz6fVHDeDkbQclaude/issue-osv-fast-uri-hono-undicidomain:devx(落点pnpm-lock.yaml,与在飞 validate-deps: decide how the OSV gate should express an advisory with no fix available #4965 的osv-scanner.toml不相交)