chore(deps/mera): vitest 2 → 3 — заодно уходит вся dev-цепочка vite/esbuild #3216

Merged

bot-backend merged 1 commit from chore/vitest3-mera into main

2026-08-29 11:11:20 +00:00

bot-backend commented

2026-08-29 11:08:36 +00:00

Collaborator

Мажор ради GHSA-5xrq-8626-4rwp (CRITICAL, vitest ≤2.x). Сам CRITICAL к нам неприменим — он про --ui, а @vitest/ui не установлен и скриптов с --ui нет. Но держать заведомо непатченный рантайм тестов ради этого рассуждения не стоит: следующий, кто добавит --ui, про оговорку не узнает.

Побочно закрылось больше, чем планировалось

vitest тянет vite сам, и у мажора другой диапазон:

2.1.9 → vite ^5.0.0 (резолв 5.4.21 → esbuild 0.21.5)
3.2.7 → vite ^5 || ^6 || ^7 (резолв 7.3.6 → esbuild 0.28.2)

Так что одним мажором:

пакет	было → стало	advisory
`vitest`	2.1.9 → 3.2.7	GHSA-5xrq-8626-4rwp
`vite`	5.4.21 → 7.3.6	GHSA-4w7w-66w2-5vf9, GHSA-fx2h-pf6j-xcff, GHSA-v6wh-96g9-6wx3
`esbuild`	0.21.5 → 0.28.2	GHSA-67mh-4wv8-2f99

OSV по локу: 4 → 1. Остаток — postcss 8.4.31, вендоренный внутри next/node_modules; нашим локом он не управляется вообще.

Что ещё в диффе и почему

@vitejs/plugin-react 4.3.4 → 5.2.0 — вынужденно и ровно поэтому: у 4.x peer на vite ^4||^5||^6, семёрка в него не попадает. У 5.2.0 — ^4||^5||^6||^7. В шестёрку не идём: там peer уже ^8.0.0.

vitest.config.ts править не пришлось: в нём нет ничего из того, что мажор переименовал или убрал (ни environmentMatchGlobs, ни deps.inline, ни workspace) — только environment / globals / setupFiles / include, которые в 3.x как были.

Приёмка (локально, node 26)

npm run test — 66 passed, 2 failed
npm run type-check — ok

Те же самые два падения (LoginPage.test.tsx, ветки 429 и 401) дают и vitest 2 на этом же локе, и vitest 2 на локе до апдейта зависимостей — проверено прогоном в обеих конфигурациях. Это локальный node 26 против node 20/24 в CI, к мажору отношения не имеет. Гейт — CI.

Пункт 6 из 6, мажор 1 из 3 (дальше отдельными PR: recharts 2 → 3, lucide-react 0.511 → 1.37; next 16 и typescript 7 — в самом конце). Тот же мажор vitest для Site Finder — отдельным PR, чтобы CI двух приложений не блокировали друг друга.

Мажор ради **GHSA-5xrq-8626-4rwp** (CRITICAL, vitest ≤2.x). Сам CRITICAL к нам неприменим — он про `--ui`, а `@vitest/ui` не установлен и скриптов с `--ui` нет. Но держать заведомо непатченный рантайм тестов ради этого рассуждения не стоит: следующий, кто добавит `--ui`, про оговорку не узнает. ## Побочно закрылось больше, чем планировалось vitest тянет `vite` сам, и у мажора другой диапазон: - 2.1.9 → `vite ^5.0.0` (резолв **5.4.21** → esbuild **0.21.5**) - 3.2.7 → `vite ^5 || ^6 || ^7` (резолв **7.3.6** → esbuild **0.28.2**) Так что одним мажором: | пакет | было → стало | advisory | |---|---|---| | `vitest` | 2.1.9 → 3.2.7 | GHSA-5xrq-8626-4rwp | | `vite` | 5.4.21 → 7.3.6 | GHSA-4w7w-66w2-5vf9, GHSA-fx2h-pf6j-xcff, GHSA-v6wh-96g9-6wx3 | | `esbuild` | 0.21.5 → 0.28.2 | GHSA-67mh-4wv8-2f99 | **OSV по локу: 4 → 1.** Остаток — `postcss` 8.4.31, вендоренный **внутри** `next/node_modules`; нашим локом он не управляется вообще. ## Что ещё в диффе и почему `@vitejs/plugin-react` 4.3.4 → 5.2.0 — вынужденно и ровно поэтому: у 4.x peer на `vite ^4||^5||^6`, семёрка в него не попадает. У 5.2.0 — `^4||^5||^6||^7`. В шестёрку не идём: там peer уже `^8.0.0`. `vitest.config.ts` править **не пришлось**: в нём нет ничего из того, что мажор переименовал или убрал (ни `environmentMatchGlobs`, ни `deps.inline`, ни `workspace`) — только `environment` / `globals` / `setupFiles` / `include`, которые в 3.x как были. ## Приёмка (локально, node 26) - `npm run test` — **66 passed, 2 failed** - `npm run type-check` — ok Те же самые два падения (`LoginPage.test.tsx`, ветки 429 и 401) дают и vitest 2 на этом же локе, и vitest 2 на локе **до** апдейта зависимостей — проверено прогоном в обеих конфигурациях. Это локальный node 26 против node 20/24 в CI, к мажору отношения не имеет. Гейт — CI. Пункт 6 из 6, мажор 1 из 3 (дальше отдельными PR: recharts 2 → 3, lucide-react 0.511 → 1.37; next 16 и typescript 7 — в самом конце). Тот же мажор vitest для Site Finder — отдельным PR, чтобы CI двух приложений не блокировали друг друга.

bot-backend added 1 commit 2026-08-29 11:08:37 +00:00

chore(deps/mera): vitest 2 → 3 — заодно уходит вся dev-цепочка vite/esbuild

CI Trade-In / changes (pull_request) Successful in 8s

Details

CI / openapi-codegen-check (pull_request) Has been skipped

Details

CI Trade-In / backend-tests (pull_request) Has been skipped

Details

CI / changes (pull_request) Successful in 12s

Details

CI Trade-In / browser-tests (pull_request) Has been skipped

Details

CI / backend-tests (pull_request) Has been skipped

Details

CI / frontend-tests (pull_request) Has been skipped

Details

CI Trade-In / frontend-checks (pull_request) Successful in 1m18s

Details

57ec24f364

Мажор ради GHSA-5xrq-8626-4rwp (CRITICAL, vitest ≤2.x). Сам CRITICAL к нам
неприменим — он про `--ui`, а `@vitest/ui` не установлен и скриптов с `--ui`
нет — но держать заведомо непатченный рантайм тестов ради этого рассуждения
не стоит: следующий, кто добавит `--ui`, про оговорку не узнает.

Побочно закрылось больше, чем планировалось. vitest тянет vite сам, и диапазон
у мажора другой: 2.1.9 → vite ^5.0.0 (резолв 5.4.21 → esbuild 0.21.5),
3.2.7 → vite ^5||^6||^7 (резолв 7.3.6 → esbuild 0.28.2). Так что одним мажором:
  vitest   2.1.9  → 3.2.7   GHSA-5xrq-8626-4rwp
  vite     5.4.21 → 7.3.6   GHSA-4w7w-66w2-5vf9, GHSA-fx2h-pf6j-xcff, GHSA-v6wh-96g9-6wx3
  esbuild  0.21.5 → 0.28.2  GHSA-67mh-4wv8-2f99

OSV по локу: 4 → 1. Остаток — postcss 8.4.31, вендоренный ВНУТРИ
next/node_modules; нашим локом не управляется вообще.

@vitejs/plugin-react 4.3.4 → 5.2.0 — вынужденно и ровно поэтому: у 4.x peer
на vite ^4||^5||^6, семёрка в него не попадает. У 5.2.0 — ^4||^5||^6||^7.
В шестёрку не идём: там peer уже ^8.0.0.

vitest.config.ts править не пришлось: в нём нет ничего из того, что мажор
переименовал или убрал (ни environmentMatchGlobs, ни deps.inline, ни workspace) —
только environment/globals/setupFiles/include, которые в 3.x как были.

Приёмка (локально, node 26):
  npm run test       66 passed, 2 failed
  npm run type-check ok

Те же самые 2 падения (LoginPage, ветки 429/401) дают и vitest 2 на этом же
локе, и vitest 2 на локе ДО апдейта зависимостей — проверено прогоном в обеих
конфигурациях. Это локальный node 26 против node 20/24 в CI, к мажору
отношения не имеет. Гейт — CI.