[P2][Build] npm allowScripts / Faraday warningを解消する

[ootakazuhiko]

背景

itdojp/it-engineer-knowledge-architecture#226 の固定SHA 46604d0 監査で、npm audit 0・test:light・Jekyll buildは成功したが、次のwarningを確認した。

• npm ci: puppeteer / sharpのinstall scriptsがallowScripts未承認
• Jekyll: Faraday v2 retry middlewareを使う場合はfaraday-retryが必要

対応

• install scriptを必要性・供給網リスクの観点で確認する
• package manager方針に従いallowScriptsを明示するか、不要依存を除去する
• Faraday retry warningを依存追加または不要性確認により解消する
• npm ci / test:light / npm audit / Jekyll buildを通す
• PR review / CI / Pages / public smokeを確認する

完了条件

• warningが解消するか、非対応理由と期限を根拠付きで記録する
• review completeness status=ok / unresolved 0
• main CI・Pages成功

[ootakazuhiko]

着手監査（2026-07-23 JST）

• fixed base: 56f54b2
• Open PR: 0
• npm 12.0.1でnpm ciを再現し、puppeteer@24.43.1 postinstallとsharp@0.34.5 installが未承認のためblockされるwarningを確認。
• sharpはactive build:full -> scripts/build.js -> scripts/image-optimizer.jsで必要。puppeteerは既定PDF engineではなく、READMEもPUPPETEER_SKIP_DOWNLOAD=trueを指定する任意機能。
• 方針: npm公式allowScriptsでSharpの監査済み解決版だけをpin承認し、Puppeteer install scriptは明示deny。npm10/12、build:full、画像処理、auditを検証する。
• live auditはhigh 5 / critical 0。Sharp advisoryと旧lint transitiveを同じ依存PR内で安全版へ更新し、audit 0にする。
• Faraday warningはactions/jekyll-build-pages:v1.0.13内のgithub-pages v232 / Octokit依存で、repository Gemfileはaction entrypoint上bundle checkにしか使われずbuild bundleを変更できない。warning filterや無効なfaraday-retry追記は行わず、owner ootakazuhiko、next review 2026-08-15 JST、early triggerはmanaged runtime更新・warning failure化として証跡化する。

PRは#235の1件だけとし、install-script policyと直接関係する依存更新以外を混在させません。

[ootakazuhiko]

完了証跡（2026-07-23 JST）

• PR: chore: define install-script policy #252
• reviewed head: 9400c31ce2283a740cfeb3eadb215d41f559a491
• squash merge: c914318f220696bfde8e26ae6f00d041c7690355
• install-script対応:
  • sharp@0.35.3 はscript-free、active image consumerを維持
  • optional puppeteer@24.43.1 のinstall scriptを allowScripts: false で明示拒否
  • Node.js ^22.22.2 || ^24.15.0 || >=26.0.0 / npm 12.0.1 を契約化
  • Book QAはglobal npmを変更せず、固定npmで通常ci / audit / pending 0を検証
  • lockfile内 hasInstallScript=true package集合の完全一致と11 negative mutationsをCI契約化
• local exact-main: pinned npm clean ci、audit 0、pending 0、test:light/build、diff check成功
• review completeness: review 9 / inline 12 / thread 6、unresolved 0 / mismatch 0 / missing 0。Copilot・Codex指摘を全件処理し、最新head Codex重大指摘なし。
• exact-main:
  • Book QA: https://github.com/itdojp/github-workflow-book/actions/runs/29968437658
  • Docs Forbidden: https://github.com/itdojp/github-workflow-book/actions/runs/29968437567
  • Pages: https://github.com/itdojp/github-workflow-book/actions/runs/29968436970
  • 全てmerge SHA一致・success
• production: Pages built、source main:/docs、公開root HTTP 200

Faraday warningはrepository Gemfileではなく actions/jekyll-build-pages@v1.0.13 の管理bundle（github-pages=232 / Octokit 4.25.1）から出力される。action entrypointはsource Gemfileをdry-run確認するだけで、repository側の faraday-retry 追加では実行bundleを変更できない。このため偽の依存追加は行わない。

• owner: ootakazuhiko
• next review: 2026-08-15 JST
• 前倒し条件: actions/pages runtimeまたはgithub-pages管理bundle更新、あるいはwarningがfailureへ昇格
• upstream evidence:
  • https://github.com/actions/jekyll-build-pages/blob/v1.0.13/Gemfile
  • https://github.com/actions/jekyll-build-pages/blob/v1.0.13/entrypoint.sh

チェックリストは「解消または非対応理由と期限」の完了条件に基づき更新済み。admin bypass、branch protection変更、force pushは未使用。