PRNext 0.1.15: より強力なランタイム基盤

#TLS と証明書の検証

このリリースでは、信頼されていない emSign 中間証明書の修正を含む、rustls、rustls-webpki、および webpki-root-certs が更新されました。

この作業は、ネイティブ ランタイムの依存関係チェーンに関係します。独自のアプリケーションの依存関係と外部サービスには、依然として独自の更新要件があります。

証明書の検証は接続パスに属するため、アプリケーションのソースが変更されない場合でも、パッチが適用されたネイティブの依存関係が重要になります。再構築後に、アプリケーションが依存する外部 HTTPS サービスをテストします。 1 つのサービスへのリクエストが成功したからといって、すべての証明書チェーンまたはアプリケーション固有のクライアントがカバーされているとは限りません。

#画像とオープングラフのレンダリング

依存関係ロックは、sharp 0.35.5 および source-map-js 1.2.2. に移動されました。 同梱の Open Graph レンダラーは、オプションのネイティブ Sharp バックエンドに見つからない、または 2.63.2 より古い librsvg がある場合の resvg フォールバックを使用して再構築されました。

分散レンダラーに既に埋め込まれているコードの場合、ワークスペース オーバーライドをチェックするだけでは十分ではありません。パッケージ化された出力には、修正された依存関係も含まれている必要があります。

フォールバックは、パッケージ化されたレンダラーがネイティブ イメージ バックエンドを処理する方法に関係します。構築されたアプリケーションで、通常の最適化されたイメージと生成された Open Graph イメージの両方を検証します。これらのパスでは異なるコードが実行される可能性があるため、正しいサムネイルだけではソーシャル イメージの生成を完全にチェックすることはできません。

#パッチが適用された Node.js ベースライン

サポートされているリリース ラインは Node.js 22.23.4, 24.22.1 および 26.12.1. で始まります。ローカル ノードの実行可能ファイルとデプロイされたコンテナ イメージには独自の更新が必要です。 npm パッケージをインストールしても、それらは置き換えられません。

ノード ランタイムとアプリケーション アーティファクトをデプロイメントの 2 つの部分として扱います。どの実行可能ファイルまたはコンテナ イメージがアプリケーションを起動したかを記録し、意図したパッケージ バージョンで再構築し、再起動後に実行中のサービスを確認します。これにより、古いランタイムをまだ使用しているプロセスの横にパッチ適用済みのロックファイルを保持することが回避されます。

#ここからどこへ行くか

インストール ガイドに記載されているパッケージの 0.1.16 手順を使用し、アプリケーションを再構築し、デプロイされた出力を再起動します。 0.1.17 の開発とキャッシュの変更については、独自のバージョン付き記事で説明されています。

これらのチェックに合格したアーティファクトとランタイムの記録を保持します。アプリケーション コードをロールバックする必要がある場合、そのレコードは、機能的なロールバックと古い依存関係の再導入を区別するのに役立ちます。古いイメージに同じセキュリティ プロパティがあると想定するのではなく、置換出力を検証します。