@eqs/http : consommer le mutator tire @eqs/auth, better-auth et vitest dans l'arbre de PRODUCTION (2 CRITICAL) #130

Closed
opened 2026-10-12 07:01:30 +00:00 by nicolas-fryder · 0 comments

Commande

pnpm audit --prod --audit-level=high sur ATLAS (rétrofit, branche epic/retrofit-2) après pnpm add @eqs/http@0.17.1.

Attendu

@eqs/http n'amène en production que ce que le mutator exige.

Observé

@eqs/http → @eqs/auth → better-auth → vitest → tinypool 1.1.1 : deux avis CRITICAL dans l'arbre de production. L'image construite contenait réellement vitest 3.2.7 et tinypool 1.1.1. MSAL est tiré aussi. Le hook pre-commit d'ATLAS a refusé le commit.

Versions

@eqs/http 0.17.1, @eqs/auth 0.17.1, better-auth 1.7.7, pnpm 11.8.0.

Coût

Un commit refusé, une heure de diagnostic ; un satellite sans audit en pre-commit livrerait vitest en production sans le savoir.

Contournement

overrides: { tinypool: '^2.1.2' } dans pnpm-workspace.yaml (vitest 3.2 accepte le 2.x : suite unitaire complète verte).

Proposition

Que @eqs/http ne dépende de @eqs/auth que par un import dynamique ou un pair optionnel (le sortant délégué), et que vitest ne soit pas un pair satisfait par l'arbre de production de better-auth (cf. la tentative 'better-auth>vitest': '-' sans effet, consignée dans le pnpm-workspace d'ATLAS).

Ouvert depuis le rejeu du rétrofit d'ATLAS (étape 6).

## Commande `pnpm audit --prod --audit-level=high` sur ATLAS (rétrofit, branche `epic/retrofit-2`) après `pnpm add @eqs/http@0.17.1`. ## Attendu `@eqs/http` n'amène en production que ce que le mutator exige. ## Observé `@eqs/http → @eqs/auth → better-auth → vitest → tinypool 1.1.1` : deux avis **CRITICAL** dans l'arbre de production. L'image construite contenait réellement vitest 3.2.7 et tinypool 1.1.1. MSAL est tiré aussi. Le hook pre-commit d'ATLAS a refusé le commit. ## Versions @eqs/http 0.17.1, @eqs/auth 0.17.1, better-auth 1.7.7, pnpm 11.8.0. ## Coût Un commit refusé, une heure de diagnostic ; un satellite sans audit en pre-commit livrerait vitest en production sans le savoir. ## Contournement `overrides: { tinypool: '^2.1.2' }` dans `pnpm-workspace.yaml` (vitest 3.2 accepte le 2.x : suite unitaire complète verte). ## Proposition Que `@eqs/http` ne dépende de `@eqs/auth` que par un import dynamique ou un pair optionnel (le sortant délégué), et que `vitest` ne soit pas un pair satisfait par l'arbre de production de better-auth (cf. la tentative `'better-auth>vitest': '-'` sans effet, consignée dans le pnpm-workspace d'ATLAS). *Ouvert depuis le rejeu du rétrofit d'ATLAS (étape 6).*
nicolas-fryder referenced this issue from a commit 2026-10-12 07:57:22 +00:00
Sign in to join this conversation.
No milestone
No project
No assignees
1 participant
Notifications
Due date
The due date is invalid or out of range. Please use the format "yyyy-mm-dd".

No due date set.

Dependencies

No dependencies set.

Reference
Infrastructure/eqs-platform#130
No description provided.