fix: mitigate npm dependency advisories

2026-07-26 00:29:49 +08:00
parent 54617c927e
commit b461532075
11 changed files with 190 additions and 56 deletions
@@ -2451,3 +2451,12 @@ git diff --check
 - 新增 migration `20260725160000_add_reliable_receipt_delivery_tracking`，仅新增下游逐次投递表、上游回执收件箱及索引/外键，不改写既有短信、提交、回执或投递历史。回滚必须先停止新版本 API/Gateway，再删除两张新表；回滚会丢失新版本产生的逐次投递和待匹配收件箱证据。
 - 发布前门禁通过：Prisma format/generate/validate，API 定向 3 suites / 119 tests，API 全量 26 suites / 325 tests，API TypeScript build，前端 TypeScript/Vite生产构建及 Gateway `go test ./...`。API 全量仅保留既有 Redis 不可用容错告警和 `--forceExit` 异步句柄提示；前端保留既有约 1.94 MB 单 chunk 警告。`git diff --check`通过。
 - 本节当前为发布前记录；提交、推送、数据库/源码/环境备份、migration、服务重启和预发布只读验收结果在发布完成后追加。未经额外授权不发送真实短信，不改写历史业务记录。
+
+## 2026-07-26 npm 依赖安全整改（发布前）
+
+- 根项目将 PostCSS 从 `8.5.15` 固定到已修复的 `8.5.23`，对应任意 `.map` 文件路径穿越公告已从审计中消失；平台没有接收用户 CSS 并交给 PostCSS 的运行时路径。
+- React Router 保持并精确固定当前最新版 `7.18.1`。实测按审计建议降到 `7.11.0` 会重新引入多条 XSS、开放重定向、反序列化和 DoS 公告，因此未采用。当前唯一剩余 high 为实验性 RSC 模式 CSRF，项目实际使用 `HashRouter` 客户端 SPA；新增 `security:verify` 门禁递归扫描前端源码，禁止引入 RSC 服务端 API。
+- API 将 ExcelJS 间接使用的 `brace-expansion` 替换为官方长度受限的 `5.0.8`，同时增加本地 CommonJS 兼容适配层，使旧版 minimatch 的函数调用方式继续有效。直接覆盖 5.0.8 曾被兼容性测试明确拦截（`expand is not a function`），未把审计清零冒充功能可用。
+- 独立 Linux 临时目录从锁文件执行两次全新 `npm ci --ignore-scripts` 成功：根项目 59 个包、API 726 个包；旧版 minimatch 三条真实依赖链花括号匹配和长度上限均通过。整改后根项目审计只剩同一条不适用 RSC 公告的 2 个依赖节点，API high 从 26 降为 0，仅剩 Prisma CLI→Valibot 的 3 个 moderate；该工具链不处理 API 请求且上游暂无修复版本，不降级 Prisma 7。
+- 功能门禁通过：报备 Excel 专项 1 suite / 7 tests，API 全量 26 suites / 325 tests，API TypeScript build，前端 TypeScript/Vite生产构建，Gateway `go test ./...`、`go vet ./...`，以及依赖安全门禁。标准部署脚本也会在干净安装后、Prisma migration 前强制执行该门禁，失败即停止发布。前端保留既有约 1.94 MB 单 chunk 提示；API 测试保留既有 Redis 容错告警和 `--forceExit` 异步句柄提示。
+- Windows 本地完整 `npm ci` 因另一进程占用两个原生 `.node` 文件而无法清理旧目录，未结束未知会话进程；随后非破坏性 `npm install` 修复本地依赖。锁文件可重建性以隔离 Linux 干净安装结果为准。提交、推送和预发布部署结果待发布后补记。