依存パッケージの更新を月イチの苦行にしない — エージェントに任せる週次アップデートのリスク分類と検証ゲート

// scripts/dep-triage.mjs — 依存更新を Tier 1/2/3 に分類して JSON 出力する
import { execSync } from "node:child_process";
import { readFileSync, writeFileSync } from "node:fs";
 
// 無条件で Tier 3 に送るパッケージ（決済・認証・フレームワーク本体）
const ALWAYS_HUMAN = [/^next$/, /^react(-dom)?$/, /^stripe$/, /@auth\//, /^next-intl$/];
 
const pkg = JSON.parse(readFileSync("package.json", "utf8"));
const devDeps = new Set(Object.keys(pkg.devDependencies ?? {}));
 
// npm outdated は更新があると exit 1 を返すため、出力だけ拾う
let raw = "{}";
try { raw = execSync("npm outdated --json", { encoding: "utf8" }); }
catch (e) { raw = e.stdout || "{}"; }
 
const outdated = JSON.parse(raw);
const diffLevel = (cur, latest) => {
  const [cM, cm] = cur.split(".").map(Number);
  const [lM, lm] = latest.split(".").map(Number);
  if (lM > cM) return "major";
  if (lm > cm) return "minor";
  return "patch";
};
 
const triage = { tier1: [], tier2: [], tier3: [] };
for (const [name, info] of Object.entries(outdated)) {
  const level = diffLevel(info.current ?? "0.0.0", info.latest);
  const entry = { name, current: info.current, latest: info.latest, level };
  if (ALWAYS_HUMAN.some((re) => re.test(name)) || level === "major" && !devDeps.has(name)) {
    triage.tier3.push(entry);
  } else if (level === "patch" || (devDeps.has(name) && level === "minor")) {
    triage.tier1.push(entry);
  } else {
    triage.tier2.push(entry);
  }
}
 
writeFileSync(".dep-triage.json", JSON.stringify(triage, null, 2));
console.log(`Tier1: ${triage.tier1.length} / Tier2: ${triage.tier2.length} / Tier3: ${triage.tier3.length}`);

# .antigravity/playbooks/weekly-deps.yaml
task: weekly-dependency-update
input: .dep-triage.json
scope:
  allowed:
    - "package.json と lockfile の更新（tier1, tier2 のみ）"
    - "npm run build / npm run test の実行と結果記録"
    - "tier2 の各パッケージについて公式変更ログの要約を作成"
  forbidden:
    - "tier3 のパッケージに触ること"
    - "ビルド失敗時に依存以外のソースコードを書き換えて通すこと"
    - "変更ログが見つからないパッケージについて内容を推測で書くこと"
procedure:
  - "tier1 を一括で npm install <name>@<latest> し、build と test を実行"
  - "失敗したら tier1 の束を二分し、通る側だけコミットして残りは report に記録"
  - "tier2 は 1 パッケージずつ更新し、それぞれ build まで確認"
report: .antigravity/reports/weekly-deps-{date}.md

### <package>@<version>
- source: <参照した変更ログの URL>
- quote: "<原文からの逐語引用（1行）>"
- summary: <破壊的変更の有無と、このリポジトリへの影響を2文以内>
- verdict: merge / hold / needs-human

# 更新対象パッケージ名のリストを .dep-triage.json から取り出し、
# lockfile 差分に「対象外パッケージの version 変更」が混ざっていないか確認する
TARGETS=$(node -e "const t=require('./.dep-triage.json');console.log([...t.tier1,...t.tier2].map(e=>e.name).join('|'))")
UNRELATED=$(git diff package-lock.json | grep -E '^\+\s+"node_modules/' | grep -vE "node_modules/(${TARGETS})[/\"]" | wc -l)
if [ "$UNRELATED" -gt 40 ]; then
  echo "⚠️ 対象外パッケージの解決が ${UNRELATED} 行動いています。無人コミットを中止します"
  exit 1
fi