chore(deps): Bun 1.4.2 + serapan ADR-0120 + fast-uri ^3.1.7 — tiga PR tak terpisahkan jadi satu

[ahliweb]

Ringkasan

main punya dua gerbang merah yang independen — audit:serapan (ADR-0120
awcms belum bervonis) dan bun audit (empat advisory high lewat fast-uri
transitif) — jadi tak ada satu pun dari tiga PR yang tadinya terpisah bisa
hijau sendirian. PR ini menggabungkan ketiganya jadi satu cabang, tiga commit
terpisah dan tetap terbaca:

1. docs(serapan) — memvonis ADR-0120 diperiksa: ADR itu memecah token
   status admin awcms jadi tiga keluarga, tapi setiap berkas yang ia sentuh
   adalah shell admin milik awcms sendiri (kembali ke sana sejak ADR-0020);
   repo ini tak punya satu pun layarnya. bun run audit:serapan jadi hijau.
2. chore(deps) — menaikkan pin Bun dari 1.3.14 ke 1.4.2 di kelima
   nilai yang dijaga tests/versi-toolchain.test.mjs (packageManager, dua
   bun-version di ci.yml, dua tag+digest FROM di Dockerfile).
3. fix(dependency) — menaikkan override fast-uri dari ^3.1.5 ke
   ^3.1.7, menutup empat advisory high (GHSA-5jgf-p345-68v8,
   GHSA-f65p-4m7j-42xc, GHSA-fph4-wmhf-6fwf, GHSA-jqff-g426-hqxp) yang lolos
   lewat rantai @astrojs/check → … → ajv → fast-uri. Lockfile
   diregenerasi penuh dan sebuah changeset ditambahkan.

Kenapa ketiganya harus satu PR

Commit 3 meregenerasi bun.lock penuh (rm -rf node_modules bun.lock && bun install), dan hasilnya berbentuk lockfileVersion: 2 — format yang
tidak bisa diparse Bun 1.3.14 ("Unknown lockfile version"). Artinya
regenerasi lockfile itu SECARA STRUKTURAL mensyaratkan kenaikan Bun 1.4.2
sudah mendarat lebih dulu di cabang yang sama; keduanya tak bisa dipisah jadi
dua PR yang masing-masing hijau sendiri.

Ditambah dua gerbang merah pra-ada di main yang independen satu sama lain
(audit:serapan dan advisory fast-uri), maka tak satu pun dari #104/#105/
#106 bisa hijau berdiri sendiri — PR ini menyatukan ketiganya dalam urutan:
vonis serapan → kenaikan Bun → regenerasi lockfile (urutan ini penting: yang
terakhir butuh yang tengah sudah mendarat).

Cabang ini dibentuk dengan git cherry-pick dari commit asli di
docs/serapan-adr-0120, chore/bun-1.4.2, dan fix/audit-fast-uri — ketiga
commit itu sendiri tidak diubah isinya, hanya disusun ulang di satu cabang.
Konflik package.json (dua commit menyentuh baris berbeda: packageManager
vs overrides.fast-uri) di-auto-merge bersih oleh git, tanpa perlu resolusi
manual — hasilnya membawa kedua nilai sekaligus.

Verifikasi

$ bun install --frozen-lockfile
Checked 303 installs across 394 packages (no changes) [16.00ms]

$ bun run check:lockfile
bun.lock sinkron dengan package.json.

$ bun run check
Result (146 files):
- 0 errors
- 0 warnings
- 5 hints

$ bun test
741 pass
12 skip
0 fail
Ran 753 tests across 38 files.

$ bun run audit:konten
✓ Tidak ada pelanggaran.

$ bun run audit:dokumen
✓ Tidak ada pelanggaran.

$ bun run audit:translation
audit:translation OK — 63 mirror(s) current against their English source; 0 document(s) on the shrink-only translation ledger.

$ bun run audit:graf
✓ Tidak ada pelanggaran.

$ bun run audit:serapan
cakupan: 72 ADR awcms bervonis, lantai 0049, puncak 0120
buku besar: 0 `belum`, tepat pada plafonnya
✓ Tidak ada pelanggaran.

$ bun run audit:aset
✓ Tidak ada pelanggaran.

$ bun run audit:rilis
1 changeset menunggu (batas 12); tertua 2026-09-05-advisory-fast-uri-naik-ke-3-1-7.md — 0 hari (batas 14).
✓ Tidak ada pelanggaran.

$ bun audit --audit-level=low
No vulnerabilities found (checked 380 packages) [405.00ms]

Baseline sebelum penggabungan: 741 pass, 12 skip, 0 fail — sama persis
sesudahnya.

Cek fakta gabungan

• packageManager: bun@1.4.2
• .github/workflows/ci.yml: bun-version: "1.4.2" di kedua job
• Dockerfile: tag 1.4.2-alpine + digest
  sha256:d888c0ae6c86d7866ff10c5aafdd9077b36aee6455b33dd270fb93c0dd5cef6f
  di kedua stage
• Baris vonis ADR-0120 ada di SKILL.md blok serapan
• overrides.fast-uri: ^3.1.7
• Changeset .changesets/2026-09-05-advisory-fast-uri-naik-ke-3-1-7.md ada

Tidak menutup #105 atau #106 dari PR ini — keduanya tetap terbuka untuk
ditutup manual setelah PR ini digabung.

🤖 Generated with Claude Code