Repository navigation
package-lock.json version metadata lags package.json (bili 0.1.190 vs 0.1.191, kernel 0.0.112 vs 0.0.114) #2704
Description
来源: ranxianglei/billion-context#2698 分析 stripImages merge-race CI breakage 时发现（独立机制：release flow 的 lockfile 簿记，与 #2698 的测试竞态无共享机制）
What
master (6064a0e7) 上根 package-lock.json 的版本元数据落后于 package.json:
| 字段 | 实际 (package.json / kernel/package.json) | lock 记录 (package-lock.json) |
|---|---|---|
| 根 bili 版本 | 0.1.191 | 0.1.190 (version 与 packages[""].version) |
acp-kernel (file:./kernel) |
0.0.114 | 0.0.112 (packages.kernel.version) |
漂移来源:release flow 只 bump package.json(以及 #2688 bump kernel/package.json),未重新生成 lock。§2 KDD #5 要求 "lock records the file link and stays committed",即 lock 应反映真实状态。
Impact
- 当前低:仓库全部 CI 用
npm ci,目前能通过(PR run 能走到 tsc 步骤,master is typecheck-broken: image-request-budget test still uses removed compress.stripImages (#2688 x #2613 race) #2698 有证据),说明现版本 npm 容忍根级版本漂移;本地npm install会自愈 lock。 - 潜在风险:更严格的 npm 版本或显式同步检查会让
npm ci失败;审计 lock 的人会读到过期版本号;一旦触发即为全仓 CI 级故障(与 master is typecheck-broken: image-request-budget test still uses removed compress.stripImages (#2688 x #2613 race) #2698 同级)。
Suggested fix
- 在 master 上一次性重新生成 lock(
npm install --package-lock-only后仅提交版本行变更),单独小 PR; - 考虑在 release workflow 里加一道 lock/package 同步校验(release commit 后
git diff --exit-code package-lock.json或等价检查),防止再次漂移。
Activity
ranxianglei commentedon Oct 11, 2026
[bot] 🏷 已处理并开 PR:https://github.com/ranxianglei/billion-context/pull/2711(分支
2026-10-11_sync-lock-version-metadata,已 rebase 到最新 mastera24f6b672)。查重:open+closed 里搜 lock/version/drift/npm-ci 关键词,无重复。结构化八问
package-lock.json的版本元数据落后于 package.json 文件——bili0.1.191vs lock0.1.190(version与packages[""].version),acp-kernel0.0.114vs lock0.0.112(packages.kernel.version)。pi-subagents0.1.4两边一致,不受影响。已在 origin/master 直接核对属实。package.json(及 refactor(#2607): remove compress.stripImages — default media folding replaces it #2688 bumpkernel/package.json),漏了重新生成 lock 这一步。§2 KDD feat: persistent + namespaced sessions, multi-tenant session isolation, stream robustness #5 要求 "lock records the file link and stays committed",但流程里没有任何机制保证 bump 后 lock 被同步——这是簿记缺口,不是某次手误。npm ci,现版本 npm 容忍根级/file-link 版本漂移(master is typecheck-broken: image-request-budget test still uses removed compress.stripImages (#2688 x #2613 race) #2698 有 PR run 走到 tsc 的证据);本地npm install会自愈。潜在:更严格的 npm 或显式同步校验会让npm ci失败 → 一旦触发即全仓 CI 级故障;审计者会读到过期版本号。定性:特定条件下才出问题(npm 收紧 / 加同步检查时),现状仅为簿记不一致。npm install --package-lock-only重生成 lock,diff 恰好 3 个版本字段,无传递依赖变更、无重排;已验证幂等(二次再生成零 diff)。lock-syncguard(挂进test.needs),每次 push/PR 跑同样再生成 +git diff --exit-code,stale lock 直接红——机械执行 §4 rule 2("release commit changes ONLY version + lock if drifts")。pull_request跑):master push 和 release 分支也要被拦,否则 release 分支 bump 仍能合并 stale lock。workflow 内注释记录了这一偏离。test.needs追加一项,未改任何既有 job/阈值/时序;docs 纯新增。唯一副作用:基于 pre-fix master 的在途 PR 会在新 gate 上短暂红到 rebase(cancel-in-progress 会自动重跑,无需额外操作)。docs-sync的 regen-and-diff 先例)。963cb0eed),lock 修复(commit Aaeac5a87c)独立成立、不受影响。验证:lock 幂等 + pass-path
git diff --exit-codeexit 0 + ci.yml YAML 解析通过,均本地定向确认;无 src 改动,故本地不跑全量,交 CI 在 rebase head 上把关。判定:可合(建议 human 合并;CI 绿后 merge 即可)。
fix: sync package-lock.json version metadata with package.json
ci: add lock-sync guard to prevent package-lock version drift
docs: document lock regeneration in the release procedure
fix: #3726 regenerate package-lock.json for acp-kernel 0.0.134 (lock-…
ci: lock-sync job also guards kernel/package-lock.json (#3782)
fix(#4354): sync root package-lock.json with acp-kernel 0.0.158 bump
fix(ci): regenerate package-lock.json files to track kernel v0.0.161
chore: sync root package-lock.json after kernel 0.0.168 bump (lock-sync)