@a9n-shoji/rvw 0.13.0 → 0.15.0

package/CHANGELOG.md

@@ -5,6 +5,41 @@
 
 ## [Unreleased]
 
+## [0.15.0] - 2026-11-01
+
+### Added
+
+- 画像やWOFF2フォントを同梱した静的HTMLウォークスルーの作成と、本文・図の位置を指定したコメントに対応しました。
+- コメントや返信ごとに、その依頼に伴うコードやArtifactの変更を許可できるようにしました。許可は既定でオフです。
+- Closed / MergedのPull Requestも新規登録できるようにしました。
+
+### Changed
+
+- コメント監視で変更を伴う処理をPRごとに直列化し、別PRの処理や調査を並行できるようにしました。公開Agent protocolは7へ更新されています。Skillの再インストールと旧runtimeの再起動が必要です。
+- HTMLウォークスルーの読み幅、コード参照、コメント操作、文字選択時の可読性を改善しました。
+
+## [0.14.1] - 2026-10-31
+
+### Fixed
+
+- 複数の `rvw stop` を同時に実行した際、別の停止要求が先にサーバーを閉じると終了確認エラーになる競合を修正しました。応答を受け取れなかった場合は、元の owner と socket が消えたことを確認して正常終了します。
+
+## [0.14.0] - 2026-10-31（公開前検証で停止・npm 未公開）
+
+### Added
+
+- 起動中のローカルサーバーを明示的に停止する `rvw stop` / `rvw stop --json` を追加。同じ保存先のサーバーだけを対象とし、既に停止していれば正常終了します。
+
+### Changed
+
+- `rvw` / `rvw open` で起動したサーバーは、ブラウザのタブをすべて閉じても動き続けるように変更。再びコマンドを実行すると同じサーバーとURLを再利用します。
+- 通常起動はサーバーの準備とブラウザ起動の成功後に端末へ戻り、ブラウザからの最初の接続を待たなくなりました。
+- `--no-open` で既存サーバーを使う場合はURLを表示して終了します。新規サーバーを起動する場合は引き続き端末に接続し、Ctrl+Cまたは `rvw stop` で停止します。
+
+### Fixed
+
+- 同梱依存関係の DOMPurify、KaTeX、Zod、Hono Node adapter を更新し、既知のセキュリティアドバイザリに対応しました。
+
 ## [0.13.0] - 2026-10-18
 
 ### Added

package/README.md

@@ -43,7 +43,8 @@ rvw open https://github.com/owner/repository/pull/123
 
 `rvw` だけで登録済みPRの一覧を開き、行を選んでレビューを再開できます。未登録の場合は `rvw open <PR URL>` でPRを追加してください。
 
-`http://127.0.0.1:43117` でブラウザが開きます。ブラウザのタブをすべて閉じると、サーバーも自動停止します。
+`http://127.0.0.1:43117` でブラウザが開き、端末に戻ります。タブをすべて閉じてもサーバーは動き続け、
+再び `rvw` を実行すると同じサーバーを使います。停止するには `rvw stop` を実行してください。
 
 ---
 
@@ -116,12 +117,14 @@ Agent にコメント監視を開始させた状態でコード行にコメン
 
 ```text
 rvw-watch-comments Skillを使って、rvwの新しいコメントと返信を監視してください。
-今回は調査とrvwへの返信だけを行い、コード変更・commit・pushはしないでください。
+各投稿の変更許可を確認し、本文の依頼に応じて対応してください。
 監視を開始できたら知らせてください。
 ```
 
 ![コメントに対するAgentの返信例](https://raw.githubusercontent.com/a9n-shoji/rvw/166871b5fbd78f258611553ca7c8acc0101737e2/docs/images/review-comment.png)
 
+- 投稿・返信ごとに「この依頼に伴う変更を許可」を選べます。これは変更の指示ではなく、本文の依頼に必要な更新の許可です。既定はオフです。
+- 同じPRの変更は順番に進め、調査・返信は編集完了を待たずに行います（並行実行枠がある場合）。
 - コメント送信後、調査中は「🔎 確認中です…」と表示され、完了すると回答に置き換わります。
 - 疑問が解消したら **解決** を押してクローズします。
 
@@ -132,7 +135,7 @@ rvw-watch-comments Skillを使って、rvwの新しいコメントと返信を
 - **完全ローカル管理**: コメント、返信、生成された Walkthrough / Structure はローカルに保存されます。**GitHub上のPRには一切投稿・送信されません**。Approve や Merge 等は通常通り GitHub 上で行ってください。
 - **参照の検証**: rvw は指定コミット・ファイル・行が存在することのみを検証します。Agentが生成した解説自体の妥当性は保証しません。
 - **接続要件**: 初回取得・同期時のみ GitHub への接続が必要です。取得済みのPRはオフラインでも表示可能です。
-- **未対応環境**: GitHub Enterprise、および新規登録時点ですでに Closed / Merged になっているPRには非対応です（登録済みPRのクローズ追従は可能）。
+- **未対応環境**: GitHub Enterpriseには非対応です。github.comのPRはOpen / Draft / Closed / Mergedのいずれも登録できます。
 - **変更操作の非保持**: rvw 単独でコード編集、テスト実行、Git コミット等を行う機能はありません。
 
 ---
@@ -181,3 +184,13 @@ PRの閲覧やコメントは引き続き利用できます。[操作と独自Sk
 - [アーキテクチャ設計・実装仕様](https://github.com/a9n-shoji/rvw/blob/166871b5fbd78f258611553ca7c8acc0101737e2/docs/architecture.md)
 - [コントリビューション](https://github.com/a9n-shoji/rvw/blob/166871b5fbd78f258611553ca7c8acc0101737e2/CONTRIBUTING.md) / [セキュリティ](https://github.com/a9n-shoji/rvw/blob/166871b5fbd78f258611553ca7c8acc0101737e2/SECURITY.md)
 - [ライセンス (MIT)](https://github.com/a9n-shoji/rvw/blob/166871b5fbd78f258611553ca7c8acc0101737e2/LICENSE)
+
+### HTMLのウォークスルー
+
+新規作成用の`rvw-walkthrough` Skillは本文全体を静的HTML/CSSで作成します。既存のMarkdown・Mermaidの閲覧も引き続き利用できます。コードリンクは通常クリック、Cmd/Ctrl＋クリックで右ペインに開けます。
+
+文章をドラッグ選択するとコメントボタンが現れます。選択範囲はセルや行をまたいでもそのままコメント対象になります。要素はホバーでもコメントでき、表の対象種別を選ぶ操作は不要です。コメントボタンへのホバーまたはフォーカスで対象を枠表示します。モード切り替えは不要です。
+
+HTMLコメントは選択した文字範囲・要素を保存します。本文更新後は誤った位置への再配置を避けるためOutdatedとして残ります。既存の行コメントは従来の再配置規則を維持します。
+
+HTML Walkthroughの配色・文字組み・レイアウトは成果物側で自由に設計できます。スタンドアロンHTMLと同梱画像・WOFF2は`--html` / `--assets-dir`で取り込めます。Gitへのアセットコミットや外部CDNは不要です。詳しくは[Static Artifactの取り込み](https://github.com/a9n-shoji/rvw/blob/main/docs/static-artifacts.md)を参照してください。

package/SECURITY.md

@@ -4,6 +4,15 @@
 
 公開後は、最新の0.x releaseをbest effortで扱います。古いreleaseへの修正や応答期限は保証しません。
 
+## Repository checks
+
+CIとnpm release stagingでは、`pnpm audit`で全severityの依存関係アドバイザリを検査します。
+CLIとWebへbundleするpackageも`devDependencies`に含まれるため、production依存だけに絞りません。
+bundle済み依存関係の修正を利用者へ届けるには、新しいrvw releaseが必要です。
+
+GitHubのrepository設定で、CodeQL default setup（Actions、JavaScript/TypeScript、Python）、
+Dependabot Malware alerts、Secret scanning、push protectionを有効にしています。
+
 ## Reporting a vulnerability
 
 脆弱性の詳細、exploit、credential、private repositoryの情報をpublic Issueへ投稿しないでください。

package/dist/cli-THIRD_PARTY_NOTICES.txt

@@ -4,7 +4,7 @@ The rvw CLI bundle contains code from the packages listed below. These notices a
 provided for attribution and license compliance; they do not change rvw's MIT license.
 
 ================================================================================
-@hono/node-server@2.1.0
+@hono/node-server@2.1.5
 Declared license: MIT
 Source: git+https://github.com/honojs/node-server.git
 
@@ -243,6 +243,32 @@ CLAIM, DAMAGES OR OTHER LIABILITY, WHETHER IN AN ACTION OF CONTRACT,
 TORT OR OTHERWISE, ARISING FROM, OUT OF OR IN CONNECTION WITH THE
 SOFTWARE OR THE USE OR OTHER DEALINGS IN THE SOFTWARE.
 
+================================================================================
+css-tree@3.2.1
+Declared license: MIT
+Source: csstree/csstree
+
+--- LICENSE ---
+Copyright (C) 2016-2026 by Roman Dvornov
+
+Permission is hereby granted, free of charge, to any person obtaining a copy
+of this software and associated documentation files (the "Software"), to deal
+in the Software without restriction, including without limitation the rights
+to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
+copies of the Software, and to permit persons to whom the Software is
+furnished to do so, subject to the following conditions:
+
+The above copyright notice and this permission notice shall be included in
+all copies or substantial portions of the Software.
+
+THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
+IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
+FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
+AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
+LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
+OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN
+THE SOFTWARE.
+
 ================================================================================
 decode-named-character-reference@1.3.0
 Declared license: MIT
@@ -623,7 +649,7 @@ TORT OR OTHERWISE, ARISING FROM, OUT OF OR IN CONNECTION WITH THE
 SOFTWARE OR THE USE OR OTHER DEALINGS IN THE SOFTWARE.
 
 ================================================================================
-hono@4.13.7
+hono@4.13.11
 Declared license: MIT
 Source: git+https://github.com/honojs/hono.git
 
@@ -1471,6 +1497,40 @@ The above copyright notice and this permission notice shall be included in all c
 
 THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY, FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM, OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE SOFTWARE.
 
+================================================================================
+source-map-js@1.2.2
+Declared license: BSD-3-Clause
+Source: 7rulnik/source-map-js
+
+--- LICENSE ---
+Copyright (c) 2009-2011, Mozilla Foundation and contributors
+All rights reserved.
+
+Redistribution and use in source and binary forms, with or without
+modification, are permitted provided that the following conditions are met:
+
+* Redistributions of source code must retain the above copyright notice, this
+  list of conditions and the following disclaimer.
+
+* Redistributions in binary form must reproduce the above copyright notice,
+  this list of conditions and the following disclaimer in the documentation
+  and/or other materials provided with the distribution.
+
+* Neither the names of the Mozilla Foundation nor the names of project
+  contributors may be used to endorse or promote products derived from this
+  software without specific prior written permission.
+
+THIS SOFTWARE IS PROVIDED BY THE COPYRIGHT HOLDERS AND CONTRIBUTORS "AS IS" AND
+ANY EXPRESS OR IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE IMPLIED
+WARRANTIES OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE ARE
+DISCLAIMED. IN NO EVENT SHALL THE COPYRIGHT HOLDER OR CONTRIBUTORS BE LIABLE
+FOR ANY DIRECT, INDIRECT, INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL
+DAMAGES (INCLUDING, BUT NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS OR
+SERVICES; LOSS OF USE, DATA, OR PROFITS; OR BUSINESS INTERRUPTION) HOWEVER
+CAUSED AND ON ANY THEORY OF LIABILITY, WHETHER IN CONTRACT, STRICT LIABILITY,
+OR TORT (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY OUT OF THE USE
+OF THIS SOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY OF SUCH DAMAGE.
+
 ================================================================================
 space-separated-tokens@2.0.2
 Declared license: MIT
@@ -1831,7 +1891,7 @@ The above copyright notice and this permission notice shall be included in all c
 THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY, FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM, OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE SOFTWARE.
 
 ================================================================================
-zod@4.4.3
+zod@4.6.7
 Declared license: MIT
 Source: git+https://github.com/colinhacks/zod.git