ci: Audit-Gate mit befristeter Allowlist (#348)

[S540d]

Der Check „Security Audit“ war dauerhaft rot, obwohl die beiden hohen Findings keinen Upstream-Fix haben (node-forge GHSA-86w9-cpqp-85rv, braces GHSA-vfj7-8cjw-p6xm; beide nur Build-/Dev-Tooling). Das blockierte reguläre Merges (inkl. Dependabot-PRs) und verdeckte neue Findings.

Änderung

• scripts/audit-gate.mjs: wertet npm audit --json aus und vergleicht Advisories (GHSA), nicht Paketnamen. Fehlschlag bei jedem hohen/kritischen Advisory außerhalb der Allowlist und bei abgelaufenen Ausnahmen. Keine neue Abhängigkeit.
• .audit-allowlist.json: die zwei Ausnahmen mit Begründung, befristet bis 2026-12-31.
• ci-cd.yml: npm audit --audit-level=high → node scripts/audit-gate.mjs --level=high.

Verifikation (lokal)

• Mit Allowlist: bestanden. Eintrag entfernt: schlägt fehl (braces). Ablaufdatum in der Vergangenheit: schlägt fehl.

Einordnung: #276 (SDK-Sollstand) und #298 (brace-expansion, taucht im Audit nicht mehr auf) lösen den Audit nicht; siehe Kommentar in S540d/project-templates#168. Bleibt #348 als Anker, bis Upstream-Fixes existieren.

Refs S540d/project-templates#168, #348

🤖 Generated with Claude Code

[github-actions]

🔀 Mergeability-Report

✅ Konfliktfrei mergebar (unstable).
✅ Ziel-Branch testing ist policy-konform.

CI-Checks: ✅ keine fehlgeschlagenen Checks

⏳ 🔑 Keystore & Credential Scan
⏳ ⚙️ Workflow Linting / actionlint
⏳ 🔐 Docs Privacy Check
⏳ 🔧 Platform Compatibility
⏳ 🔒 Security Audit
⏳ mergeability / mergeability
⏳ 🔍 Code Quality & Linting
⏳ Analyze (javascript-typescript)
⏳ Analyze (actions)

Merge-Checkliste

• CI-Checks grün
• Keine Merge-Konflikte
• Ziel-Branch korrekt
• (Optional) tiefes KI-Review via /review aus Claude Code (Pro-Abo, ohne API-Kosten)

---

Kostenlos generiert von reusable-mergeability.yml · keine API-Kosten · review-gate: success