[sajikix]

概要

npm audit で検出された脆弱性（GitHub の Dependabot でも default branch に 82 件検出）を解消するために依存を更新しました。あわせて astro 7 への追随に必要な content collections の移行を行っています。

更新後の npm audit は found 0 vulnerabilities です。

更新内容

パッケージ	変更前	変更後
astro	^5.5.6	^7.3.1
@astrojs/check	^0.9.4	^0.9.10
dayjs	^1.11.7	^1.11.23
github-markdown-css	^4.0.0	^5.9.0
typescript	^5.2.2	^5.9.3
@types/node	^18.11.18	^24.13.3
prettier	^2.8.3	^3.9.6
prettier-plugin-astro	^0.7.2	^0.14.1

バージョン選定は .npmrc の min-release-age=14 に従い、公開から 14 日以上経過したものに限定しています。

なぜ astro 7 まで上げるのか

critical だった astro の AVIF 画像最適化経由の RCE（GHSA-26w7-cxv4-gfx2）は、修正が 7.2.8 以降にしか入っておらず 5 系にバックポートされていません。astro 5 系最新（5.18.2）に留めた場合、critical 1 件と high 4 件を含む 13 件が残ります。

content collections の移行（破壊的変更への対応）

astro 6 でレガシー content collections（src/content/config.ts と defineCollection の type: "data"）が削除され、astro 7 には legacy.collectionsBackwardsCompat という一時的な逃げ道しか残っていないため、loader API へ移行しました。

• src/content/config.ts を src/content.config.ts へ移し glob() loader 化
• z は astro:content からの re-export が astro 8 で削除予定のため astro/zod から import
• post.render() → render(post)
• params に渡す post.slug → post.id

URL は変わりません。 glob loader の id 生成は frontmatter の slug を優先する実装で、全 69 件の md が slug: "YYYY-MM" を持つため従来どおり /posts/YYYY-MM/ が生成されます。

lookback はトップレベルが配列の JSON ですが、glob() loader と z.array() スキーマの組み合わせでそのまま読めたため、JSON データ側の変更は不要でした。

github-markdown-css v5 での import 先変更

v5 の github-markdown.css は prefers-color-scheme: dark で自動的にダーク配色へ切り替わります。このサイトは light 固定（.main の color は #24292e、背景は指定なし）のため、OS がダーク設定のユーザーで記事本文だけがダークになって崩れます。現状の見た目を維持するため github-markdown-light.css を明示的に指定しました。ダークモード対応自体は別途デザインの判断が必要です。

確認したこと

• 3 コミットそれぞれの時点で npm run build（astro check && tsc --noEmit && astro build）が 0 errors / 0 warnings、生成ページ数は移行前と同じ 72
• npm ci --ignore-scripts でクリーンインストールが成功（lockfile は CI で再現可能）
• astro preview でトップ / 記事ページ（本文・メンバーアバター・シンタックスハイライト）/ /lookback/2024/ のタイムライン（月別グルーピング）を目視確認

申し送り

• prettier 3 に上げましたが整形は実行していません。 format スクリプトが無いため既存ファイルは無変更ですが、prettier 3 で trailingComma の既定が es5 → all に変わるため、今後エディタで保存したファイルには差分が出ます。一括整形するなら独立した PR にするのが無難です
• typescript は 7.0.2 が最新ですが、@astrojs/check@0.9.10 の peerDependencies が ^5.0.0 || ^6.0.0 のため 5 系に留めています
• min-release-age の都合で今回見送ったもの（14 日経過後に追随可能）: astro 7.3.3 / sass 1.104.1 / prettier 3.9.8 / prettier-plugin-astro 1.0.1