rilis: v0.5.1 — empat advisory fast-uri ditutup, dan Bun naik ke 1.4.2

[ahliweb]

Melipat empat changeset, semuanya patch (diturunkan dari bump masing-masing, ADR-0040): 0.5.0 → 0.5.1.

Changeset	bump
Override fast-uri naik ke ^3.1.7, menutup empat advisory sekaligus	patch
Bun naik dari 1.3.14 ke 1.4.2, dan bun.lock ikut berganti format	patch
Gerbang tests/runtime-bun.test.mjs: tanpa Node.js runtime, dan itu kini diperiksa	patch
README dan cerminnya menyebut 21 berkas gerbang selagi tests/ berisi 39	patch

Yang paling penting dibaca dulu

Keamanan. fast-uri@3.1.5 — resolusi lama dari override ^3.1.5 di
package.json, lewat rantai transitif @astrojs/check › @astrojs/language-server › volar-service-yaml › yaml-language-server › ajv-i18n › ajv › fast-uri — masih
bernama di empat advisory high sekaligus (GHSA-5jgf-p345-68v8,
GHSA-f65p-4m7j-42xc, GHSA-fph4-wmhf-6fwf, GHSA-jqff-g426-hqxp). Override naik ke
^3.1.7, rilis patch 3.x pertama yang menutup keempatnya, bukan ^4.x yang
melompati mayor yang tak diminta ajv maupun advisory-nya.

Bun naik ke 1.4.2, dan ini punya konsekuensi breaking di luar repo ini.
bun.lock ikut berganti FORMAT (lockfileVersion: 1 → 2). Situs mana pun
yang diturunkan dari template ini sebelum 5 September 2026 (atau yang belum
mengikuti kenaikan ini) akan gagal bun install --frozen-lockfile di CI atau
docker build-nya sendiri begitu bun.lock situs itu diregenerasi oleh Bun
≥1.4 di mesin manapun — pesannya error: Unknown lockfile version, yang
menyebut nama berkas dan bukan versi Bun. Perbaikannya: kelima nilai pin Bun
(termasuk engines.bun) situs itu ikut naik, seperti yang dilakukan di sini.
Detail dan gejalanya ada di docs/deploy-coolify.md dan
docs/awcms-astro/checklist-repo-baru.md.

Juga di rilis ini

• Gerbang baru tests/runtime-bun.test.mjs membuktikan "Bun satu-satunya
  runtime repo ini" alih-alih hanya benar tanpa pemeriksa (ADR-0050).
• README.md/README.id.md diperbaiki: hitungan berkas gerbang yang hanyut ke
  21 (sebenarnya 39) sejak sebulan lalu, dan tests/documented-counts.test.mjs
  kini ikut menjaga kedua README.

Rilis ini dijalankan sebagai repo TEMPLATE

AWCMS_API_URL kosong (keadaan normal repo ini sendiri): bun run build,
audit:konten, dan lapis penyaji/CSP di bun test DILEWATI, bukan lulus —
tertulis juga di CHANGELOG.md.

sbom.cdx.json diregenerasi (ADR-0031): 393 komponen dari 394 entri lockfile,
menamai awcms-astro@0.5.1, ditulis sebelum commit rilis sehingga SBOM di
dalam tag menamai versi yang tag-nya sebenarnya.

bun audit --audit-level=low: nol kerentanan atas 380 paket. bun test: 777
lulus, 12 lewat (skip semua bersyarat build integrasi), 0 gagal. Kesembilan
gerbang (check, test, audit:dokumen, audit:translation, audit:graf,
audit:rilis, audit:serapan, check:lockfile) hijau; audit:rilis
melaporkan backlog kosong.

Tag v0.5.1 dibuat secara lokal di ujung branch ini (belum didorong) —
mengikuti pola v0.3.0/v0.4.0/v0.5.0: tag "resmi" biasanya dibuat di
commit squash pada main setelah PR ini digabung, jadi tag lokal ini bisa
perlu dibuat ulang di commit itu.

🤖 Generated with Claude Code