@types/nodeをLTSバージョンに固定しhonoを更新

[poad]

概要

依存パッケージの脆弱性対応として、@types/node を LTS バージョンに固定し、hono を最新版に更新しました。

変更点

追加・変更・削除したファイル (リポジトリルートからの相対パス)	変更内容	事由
.github/dependabot.yml	@types/node の奇数バージョン（25.x, 27.x, 29.x）を無視する設定を追加	非LTSバージョンの自動更新を防止し、安定したLTSバージョンのみを使用するため
example/package.json	@types/node を 25.3.0 から ^24.10.13 に変更	LTS バージョン (Node.js 24) に固定するため
package/package.json	@types/node を 25.3.0 から ^24.10.13 に変更、hono を ^4.12.0 から ^4.12.1 に更新	LTS バージョンへの固定および最新版への更新
pnpm-lock.yaml	ロックファイルを更新	依存関係の変更を反映
pnpm-workspace.yaml	不要な overrides（@eslint/js, eslint, ajv など）を削除	依存関係が解決されたため不要になった

確認事項

• (Typescriptの場合) pnpm audit --fix で脆弱性を修正済みか？
• (Typescriptの場合) pnpm lint-fix でコードスタイルは修正済みか？
• (Markdownの場合)npx -y markdownlint-cli2@latest . --fix で Markdown の lint は修正済みか？

特記事項

• Node.js の奇数バージョンは非LTSリリースであるため、dependabot で自動更新されないように設定しました
• 今回の変更により、依存関係の脆弱性が解消されています

[github-actions]

Dependency Review

The following issues were found:

• ✅ 0 vulnerable package(s)
• ✅ 0 package(s) with incompatible licenses
• ✅ 0 package(s) with invalid SPDX license definitions
• ⚠️ 1 package(s) with unknown licenses.

See the Details below.

License Issues

package/package.json

Package	Version	License	Issue Type
hono	^4.12.1	Null	Unknown License

OpenSSF Scorecard

Package	Version	Score	Details
npm/@types/node	^24.10.13	Unknown	Unknown
npm/hono	4.12.1	Unknown	Unknown
npm/@types/node	^24.10.13	Unknown	Unknown
npm/hono	^4.12.1	Unknown	Unknown
npm/@types/node	24.10.13	🟢 6.8	Details Check Score Reason Maintained 🟢 10 30 commit(s) and 1 issue activity found in the last 90 days -- score normalized to 10 Code-Review 🟢 7 Found 23/30 approved changesets -- score normalized to 7 Packaging ⚠️ -1 packaging workflow not detected CII-Best-Practices ⚠️ 0 no effort to earn an OpenSSF best practices badge detected Security-Policy 🟢 10 security policy file detected Dangerous-Workflow 🟢 10 no dangerous workflow patterns detected Token-Permissions ⚠️ 0 detected GitHub workflow tokens with excessive permissions License 🟢 9 license file detected Signed-Releases ⚠️ -1 no releases found Branch-Protection ⚠️ -1 internal error: error during branchesHandler.setup: internal error: some github tokens can't read classic branch protection rules: https://github.com/ossf/scorecard-action/blob/main/docs/authentication/fine-grained-auth-token.md Vulnerabilities 🟢 10 0 existing vulnerabilities detected Binary-Artifacts 🟢 10 no binaries found in the repo Pinned-Dependencies 🟢 8 dependency not pinned by hash detected -- score normalized to 8 SAST ⚠️ 0 SAST tool is not run on all commits -- score normalized to 0 Fuzzing ⚠️ 0 project is not fuzzed
npm/hono	4.12.1	Unknown	Unknown
npm/undici-types	7.16.0	🟢 8.3	Details Check Score Reason Maintained 🟢 10 30 commit(s) and 18 issue activity found in the last 90 days -- score normalized to 10 Security-Policy 🟢 9 security policy file detected Dependency-Update-Tool 🟢 10 update tool detected Code-Review 🟢 10 all changesets reviewed Dangerous-Workflow 🟢 10 no dangerous workflow patterns detected Token-Permissions ⚠️ 0 detected GitHub workflow tokens with excessive permissions Binary-Artifacts 🟢 8 binaries present in source code Pinned-Dependencies 🟢 4 dependency not pinned by hash detected -- score normalized to 4 CII-Best-Practices ⚠️ 0 no effort to earn an OpenSSF best practices badge detected Vulnerabilities 🟢 10 0 existing vulnerabilities detected Signed-Releases ⚠️ -1 no releases found Fuzzing 🟢 10 project is fuzzed License 🟢 10 license file detected Packaging 🟢 10 packaging workflow detected SAST 🟢 9 SAST tool detected but not run on all commits Branch-Protection ⚠️ -1 internal error: error during branchesHandler.setup: internal error: some github tokens can't read classic branch protection rules: https://github.com/ossf/scorecard-action/blob/main/docs/authentication/fine-grained-auth-token.md CI-Tests 🟢 10 30 out of 30 merged PRs checked by a CI test -- score normalized to 10 Contributors 🟢 10 project has 80 contributing companies or organizations

Scanned Files

• example/package.json
• package/package.json
• pnpm-lock.yaml

[amazon-q-developer]

レビュー完了

このPRは、依存関係のセキュリティ対応として@types/nodeをLTSバージョンに固定し、honoを最新版に更新する変更です。コードレビューの結果、マージをブロックする重大な欠陥は見つかりませんでした。

変更内容の確認

✅ @types/node: 25.3.0（非LTS）→ ^24.10.13（LTS）への変更は適切です
✅ hono: 4.12.0 → 4.12.1 へのパッチ更新は問題ありません
✅ dependabot設定: 非LTSバージョン（25.x, 27.x, 29.x）の自動更新を防止する設定は適切です
✅ pnpm-workspace.yaml: 解決済みのoverridesを削除し、必要なminimatchのoverrideのみを保持しています

すべての変更は、PRの目的である脆弱性対応とLTSバージョンへの固定という目標に沿っています。

---

You can now have the agent implement changes and create commits directly on your pull request's source branch. Simply comment with /q followed by your request in natural language to ask the agent to make changes.