fix(deps): sharp を override で 0.35.4 に上げ、dead な uuid override を外す

[shinyaoguri]

Summary

Dependabot Updates の security update (npm_and_yarn in /. for sharp) が failure し続けていた件を、root の overrides で塞ぐ。あわせて dead になっていた uuid override を外す。

miniflare が sharp を範囲ではなく exact 0.35.2 で要求しているため dependabot は脆弱版から動かせず、最新の miniflare@5.20260908.0-alpha も同じ pin なので wrangler / miniflare を上げても解決しない (#288 で wrangler を 4.115.0 → 4.127.1 に上げた後も alert は open のままだった)。override が唯一の手段になる。#259 で undici に対して行ったのとまったく同じパターンの二例目。

typedcode@1.1.0
`-- wrangler@4.127.1 (dev)
  `-- miniflare@5.20260828.0-alpha
    `-- sharp@0.35.2   <- exact pin

影響度: GHSA-rgj7-g3m4-5g8c (high) / sharp < 0.35.4 / libheif の HEIF・AVIF デコード脆弱性。scope は development で本番 Worker には配布されない。sharp は miniflare の Images binding ハンドラ内で動的 import されるだけだが、本リポの wrangler 設定 3 つに Images binding は無く packages/workers/src に IMAGES の参照も無いため、インストールされるだけで実行されない。実行時のリスクではなく衛生の問題 (high alert が open のまま、Dependabot Updates が毎回赤、npm audit が赤)。

変更点:

• overrides に "sharp": "^0.35.4" を追加 (0.35.2 → 0.35.4 は patch で API 互換)
• dead になっていた "uuid": "^11.1.1" override を削除。唯一の依存元だった vite-plugin-top-level-await を fix(editor): vite-plugin-top-level-await を外して本番ビルドのエディタ起動を直す #256 で外した時点で dead になっており、lock に要求元もエントリも無い (fix(deps): undici を override で 7.29.0 に上げ、dead な rollup override を外す #259 は同じ原因で dead になった rollup override だけを外し、uuid を見落としていた)
• lock の差分は sharp 本体と @img/sharp-* / @img/sharp-libvips-* のプラットフォームバイナリ群のみで、他の依存は動いていない

残る override のうち dompurify は live で必須 (monaco-editor@0.56.0 の exact 3.4.8 を上書きして 3.4.14 に載せている)。vite / ws / undici は現時点では冗長だが floor としては無害なので今回は触らない。

Test plan

npm ci --include=optional でクリーンに入れ直した上で、CI の 3 ジョブに対応するコマンドを一式ローカルで実行した。

• npm audit — high 3 件 → 0 件 (sharp / それを含む miniflare / wrangler がすべて消えた)
• npm ls sharp — wrangler@4.127.1 → miniflare@5.20260828.0-alpha → sharp@0.35.4 に解決。optional なプラットフォームバイナリ (@img/sharp-*) も解決漏れなし
• npm run build — 全パッケージビルド成功
• npm run typecheck / npm run lint — pass (lint の warning / info は既存分のみ)
• npm run test:run --workspaces --if-present — 820 件 pass / 3 skip
• npm run deploy:staging -w @typedcode/workers -- --dry-run / 同 deploy:production — 両方成功
• npm run test -w @typedcode/e2e — 17 件 pass。wrangler dev (= miniflare) が実際に起動する唯一の経路で、sharp 0.35.4 入りの node_modules で正常に動くことの確認
• npm run test:build -w @typedcode/e2e — 1 件 pass

Documentation impact

• 上記いずれも該当なし (依存の解決版のみの変更で、不変条件・公開仕様・環境変数に影響しない)

ADR (該当する場合)

• N/A

Related issues / PRs

Closes #307

• fix(deps): undici を override で 7.29.0 に上げ、dead な rollup override を外す #259 — undici を override で上げ、dead な rollup override を外した先例。今回はその二例目
• fix(deps): nanoid の high 脆弱性 (GHSA-2v37-7h3g-55p8) を override で塞ぐ — dependabot の自動更新が失敗し続けている #270 — 同型の nanoid の件。ci(deps-dev): bump the dev-dependencies group with 11 updates #288 (dev deps 一括更新) で postcss が 8.5.26 に上がり nanoid@3.3.18 に解決されたことで既に解消済み (alert Bump the dev-dependencies group across 1 directory with 7 updates #58 は fixed)。この PR には含めず、Issue 側に事実を記録して close する。fix(deps): nanoid の high 脆弱性 (GHSA-2v37-7h3g-55p8) を override で塞ぐ — dependabot の自動更新が失敗し続けている #270 のトリアージが宿題として挙げていた dead override (uuid) の掃除だけをこの PR に取り込んだ
• ci(deps): bump the production-dependencies group with 3 updates #287 / ci(deps-dev): bump the dev-dependencies group with 11 updates #288 / ci(deps): bump actions/cache from 4 to 6 in the github-actions group #289 — この件に気づいた dependabot PR (いずれもマージ済み)

[github-actions]

🚀 Preview Deployment

Name	URL
Preview	https://fff44e71.typedcode.pages.dev

Deployed from commit 6785237
API: staging Workers