歷史記錄 · 2026-11-03¶
重大重構里程碑¶
2026-11-03 ─ PR 依賴稽核只擋新增的 advisories（issue 001248）¶
Dependabot 的 GitHub Actions 升版 PR 連續紅燈，查出兩個獨立原因：workflows.test.mjs 把 Pages 三個 action 的版本
註解寫死（issue 001247，改鎖主版號、格式由通用測試守）；以及 security.yml 的 pnpm audit --audit-level moderate
在 PR 上對 base 分支既有的 advisories 一樣判失敗——master 的每週排程自 2026-09-14 起連續紅（99 項，直接依賴只有
Angular 22.1.0 與 vitest 4.1.10，其餘為傳遞依賴）。使用者裁決「B2 加 A 全做」：PR 以 base 的 lockfile 另跑一次
audit 當基線，scripts/check-audit-diff.mjs 以 GHSA＋套件名比對、只擋 PR 新引入的 advisories，每週排程仍整份把關；
資安規範 6.2 與程式架構/security.md 的 CI 口徑同步。升版一輪（Angular 22.2.x、vitest、overrides 釘值）記於
001248 時間線。
決策檔：D-20261103-01