@empire-builder-kit/nx 1.0.0-rc.32 → 1.0.0-rc.34

package/src/supply-chain/generated-container-release-command.js

@@ -121,6 +121,7 @@ function renderContainerReleaseCommand(options = {}) {
 import { execFileSync, spawn, spawnSync } from 'node:child_process';
 import {
   chmodSync,
+  copyFileSync,
   existsSync,
   lstatSync,
   mkdirSync,
@@ -128,6 +129,7 @@ import {
   readFileSync,
   realpathSync,
   readdirSync,
+  renameSync,
   rmSync,
   unlinkSync,
   writeFileSync,
@@ -167,6 +169,39 @@ const AWS_REGION_NAME =
   /^(?=.{9,32}$)[a-z]{2}(?:-gov)?-[a-z]+(?:-[a-z]+)*-\\d$/;
 const MAX_TOOL_BYTES = 100 * 1024 * 1024;
 const MAX_OUTPUT_BYTES = 64 * 1024 * 1024;
+// Optional absolute cache roots supplied by the workflow (runner-local, restored
+// by the managed cache step). Absent or relative values disable the caches.
+const optionalCacheRoot = (name) => {
+  const value = process.env[name]?.trim() ?? '';
+  return value !== '' && isAbsolute(value) && !value.includes('..') ? value : '';
+};
+const buildxLayerCache = (repositoryName, architecture) => {
+  const root = optionalCacheRoot('EBK_BUILDX_CACHE_DIR');
+  if (root === '') return { arguments: [], commit: () => {} };
+  const scope = repositoryName.replaceAll('/', '-') + '-' + architecture;
+  const current = join(root, scope);
+  const next = join(root, scope + '.next');
+  mkdirSync(root, { mode: 0o700, recursive: true });
+  rmSync(next, { force: true, recursive: true });
+  return {
+    arguments: [
+      ...(existsSync(current)
+        ? ['--cache-from', 'type=local,src=' + current]
+        : []),
+      '--cache-to',
+      'type=local,dest=' + next + ',mode=max',
+    ],
+    commit: () => {
+      if (!existsSync(next)) return;
+      rmSync(current, { force: true, recursive: true });
+      renameSync(next, current);
+    },
+  };
+};
+const cachedReleaseToolArchive = (name, sha256) => {
+  const root = optionalCacheRoot('EBK_RELEASE_TOOL_CACHE_DIR');
+  return root === '' ? '' : join(root, name + '-' + sha256);
+};
 const mode = process.argv[2];
 const requestedPlatform = process.argv[3];
 if (
@@ -1213,10 +1248,17 @@ const releaseContainerInputs = declaredContainers.map((declared, index) => {
       ? captured.digest
       : captured?.candidateDigest;
   const candidate = declared.candidate;
-  const materialDigest = digestCandidatePaths(
-    candidate.materialPaths,
-    'OCI artifact candidate material',
-  );
+  // Promotion copies reviewed staging images without rebuilding, so the build
+  // material is never present in that job; the candidate evidence restored
+  // from the exact release artifact already binds the material digest
+  // (EBK-INT-2026-076).
+  const materialDigest =
+    mode === 'promote'
+      ? candidateArtifactDigest
+      : digestCandidatePaths(
+          candidate.materialPaths,
+          'OCI artifact candidate material',
+        );
   const buildRecipeDigest = digestCandidatePaths(
     candidate.recipePaths,
     'OCI artifact candidate recipe',
@@ -1493,6 +1535,114 @@ const exactImageByTag = (repositoryName, tag) => {
   }
   return response.imageDetails[0].imageDigest;
 };
+const exactImageByDigest = (repositoryName, imageDigest) => {
+  const response = awsJson(
+    [
+      'ecr',
+      'describe-images',
+      '--registry-id',
+      accountId,
+      '--repository-name',
+      repositoryName,
+      '--image-ids',
+      'imageDigest=' + imageDigest,
+      '--region',
+      region,
+      '--output',
+      'json',
+    ],
+    'Exact ECR image digest lookup',
+  );
+  return (
+    Array.isArray(response?.imageDetails) &&
+    response.imageDetails.length === 1 &&
+    response.imageDetails[0]?.registryId === accountId &&
+    response.imageDetails[0]?.repositoryName === repositoryName &&
+    response.imageDetails[0]?.imageDigest === imageDigest
+  );
+};
+// An unchanged artifact (same candidate material, recipe, Dockerfile, platform,
+// and production closure) may reuse the image and SBOM retained by the newest
+// successful deployment on this branch instead of rebuilding. Declining reuse
+// is always safe: the full native build runs. The native run proof is always
+// re-executed against the reused image.
+const reusableBaselinePlatformRecord = (input, requestedPlatform, architecture, repositoryName, expectedClosure) => {
+  const root = optionalCacheRoot('EBK_CONTAINER_BASELINE_ROOT');
+  if (root === '' || process.env.EBK_OCI_REBUILD?.trim() === 'all') return undefined;
+  const safeArtifact = input.declared.name.replace(/[^A-Za-z0-9._-]/g, '_');
+  const recordPath = join(
+    root,
+    'container-release',
+    'partials',
+    stage,
+    slice,
+    architecture,
+    safeArtifact + '.platform.json',
+  );
+  const decline = (reason) => {
+    process.stderr.write(
+      'ebk-container-release-reuse ' +
+        JSON.stringify({ artifact: input.declared.id, platform: requestedPlatform, reason, reused: false }) +
+        '\\n',
+    );
+    return undefined;
+  };
+  if (!existsSync(recordPath) || lstatSync(recordPath).isSymbolicLink()) {
+    return decline('no baseline platform record');
+  }
+  let record;
+  try {
+    record = validateContainerPlatformEvidence(JSON.parse(readFileSync(recordPath, 'utf8')));
+  } catch (error) {
+    return decline('baseline platform record is invalid: ' + String(error?.message ?? error));
+  }
+  if (
+    record.accountId !== accountId ||
+    record.region !== region ||
+    record.stage !== stage ||
+    record.slice !== slice ||
+    record.artifactId !== input.declared.id ||
+    record.artifactName !== input.declared.name ||
+    record.platform !== requestedPlatform ||
+    record.repositoryName !== repositoryName ||
+    record.candidateArtifactDigest !== input.candidateArtifactDigest ||
+    record.dockerfileDigest !== digestBytes(readFileSync(input.dockerfile)) ||
+    record.productionClosureDigest !== expectedClosure.digest ||
+    !IMAGE_DIGEST.test(record.imageDigest) ||
+    record.imageReference !== registry + '/' + repositoryName + '@' + record.imageDigest
+  ) {
+    return decline('artifact inputs changed since the baseline');
+  }
+  const evidencePrefix = '.ebk/evidence/';
+  const sbomPath = join(
+    root,
+    record.sbom.path.startsWith(evidencePrefix)
+      ? record.sbom.path.slice(evidencePrefix.length)
+      : record.sbom.path,
+  );
+  if (!existsSync(sbomPath) || lstatSync(sbomPath).isSymbolicLink()) {
+    return decline('baseline SBOM is absent');
+  }
+  const sbomBytes = readFileSync(sbomPath);
+  if (digestBytes(sbomBytes) !== record.sbom.sha256) {
+    return decline('baseline SBOM bytes differ from the retained record');
+  }
+  if (!exactImageByDigest(repositoryName, record.imageDigest)) {
+    return decline('baseline image is no longer in the registry');
+  }
+  process.stderr.write(
+    'ebk-container-release-reuse ' +
+      JSON.stringify({
+        artifact: input.declared.id,
+        baselineCommit: record.sourceCommit,
+        imageDigest: record.imageDigest,
+        platform: requestedPlatform,
+        reused: true,
+      }) +
+      '\\n',
+  );
+  return { imageDigest: record.imageDigest, sbomBytes };
+};
 const acquireSyft = async () => {
   const platformKey = process.platform + '-' + process.arch;
   const release = SYFT_RELEASES[platformKey];
@@ -1505,7 +1655,12 @@ const acquireSyft = async () => {
   const archive = supplied
     ? safePath(relative(repositoryRoot, resolve(repositoryRoot, supplied)), 'Supplied Syft archive')
     : join(temporary, 'syft-archive');
-  if (!supplied) {
+  const cachedArchive = supplied ? '' : cachedReleaseToolArchive('syft', release.sha256);
+  if (!supplied && cachedArchive && existsSync(cachedArchive)) {
+    // Reuse the archive verified by an earlier invocation on this runner; the
+    // digest check below still runs against the copied bytes.
+    copyFileSync(cachedArchive, archive);
+  } else if (!supplied) {
     const response = await fetch(release.source, {
       redirect: 'follow',
       signal: AbortSignal.timeout(120_000),
@@ -1530,6 +1685,10 @@ const acquireSyft = async () => {
   ) {
     throw new Error('Pinned Syft archive integrity does not match policy.');
   }
+  if (cachedArchive && !existsSync(cachedArchive)) {
+    mkdirSync(optionalCacheRoot('EBK_RELEASE_TOOL_CACHE_DIR'), { mode: 0o700, recursive: true });
+    writeFileSync(cachedArchive, bytes, { mode: 0o600 });
+  }
   const path = join(temporary, 'syft');
   if (release.archiveFormat === 'binary') {
     writeFileSync(path, bytes, { mode: 0o700 });
@@ -1574,7 +1733,10 @@ const acquireCrane = async () => {
         'Supplied Crane archive',
       )
     : join(temporary, 'crane-archive.tar.gz');
-  if (!supplied) {
+  const cachedArchive = supplied ? '' : cachedReleaseToolArchive('crane', release.sha256);
+  if (!supplied && cachedArchive && existsSync(cachedArchive)) {
+    copyFileSync(cachedArchive, archive);
+  } else if (!supplied) {
     const response = await fetch(release.source, {
       redirect: 'follow',
       signal: AbortSignal.timeout(120_000),
@@ -1599,6 +1761,10 @@ const acquireCrane = async () => {
   ) {
     throw new Error('Pinned Crane archive integrity does not match policy.');
   }
+  if (cachedArchive && !existsSync(cachedArchive)) {
+    mkdirSync(optionalCacheRoot('EBK_RELEASE_TOOL_CACHE_DIR'), { mode: 0o700, recursive: true });
+    writeFileSync(cachedArchive, bytes, { mode: 0o600 });
+  }
   execute('tar', ['-xzf', archive, '-C', temporary, 'crane'], 'Crane extraction');
   const path = join(temporary, 'crane');
   chmodSync(path, 0o700);
@@ -2516,14 +2682,29 @@ if (mode === 'platform') {
   let platformError;
   try {
     syft = await acquireSyft();
-    crane = stage === 'development' ? await acquireCrane() : undefined;
+    crane =
+      stage === 'development' || optionalCacheRoot('EBK_CONTAINER_BASELINE_ROOT') !== ''
+        ? await acquireCrane()
+        : undefined;
     recoverReleaseBuilders();
+    // Artifacts that share a package, recipe, and Dockerfile (the migration and
+    // retirement jobs) resolve one identical production closure.
     const expectedClosures = new Map();
+    const closuresByRecipe = new Map();
     for (const input of containerInputs) {
-      expectedClosures.set(
-        input.declared.id,
-        await deriveExpectedProductionClosure(syft, input),
-      );
+      const recipeKey =
+        input.packageName +
+        ':' +
+        input.buildRecipeDigest +
+        ':' +
+        digestBytes(readFileSync(input.dockerfile));
+      if (!closuresByRecipe.has(recipeKey)) {
+        closuresByRecipe.set(
+          recipeKey,
+          await deriveExpectedProductionClosure(syft, input),
+        );
+      }
+      expectedClosures.set(input.declared.id, closuresByRecipe.get(recipeKey));
     }
     requireReviewedCheckout();
     for (const input of containerInputs) requireCandidateAuthority(input);
@@ -2555,7 +2736,24 @@ if (mode === 'platform') {
               ({ platform }) => platform === requestedPlatform,
             )
           : undefined;
-      if (stage === 'development') {
+      const reusable =
+        stage === 'development'
+          ? undefined
+          : reusableBaselinePlatformRecord(
+              input,
+              requestedPlatform,
+              architecture,
+              repositoryName,
+              expectedClosure,
+            );
+      if (reusable) {
+        if (!crane) throw new Error('Unchanged artifact reuse requires the reviewed crane.');
+        execute(
+          crane.path,
+          ['copy', registry + '/' + repositoryName + '@' + reusable.imageDigest, taggedReference],
+          'Unchanged artifact re-tag without rebuilding',
+        );
+      } else if (stage === 'development') {
         if (!crane || !developmentSourcePlatform) {
           throw new Error(
             'Development retirement source platform is absent.',
@@ -2567,41 +2765,46 @@ if (mode === 'platform') {
           'Exact staging retirement child promotion',
         );
       } else {
+        // One BuildKit builder serves every artifact of this invocation so
+        // shared layers (pnpm fetch, filtered install) are reused across the
+        // Slice's images; the platform-mode finally block removes it.
         const platformBuilder = ensureReleaseBuilder();
-        try {
-          await executeObservedBuildx([
-            'buildx',
-            'build',
-            '--builder',
-            platformBuilder.name,
-            ...(packageRegistry
-              ? [
-                  '--build-arg',
-                  'NPM_CONFIG_REGISTRY=' + packageRegistry,
-                ]
-              : []),
-            '--file',
-            relative(repositoryRoot, input.dockerfile),
-            '--label',
-            'org.opencontainers.image.revision=' + sourceCommit,
-            '--label',
-            'dev.empire-builder-kit.candidate-digest=' +
-              input.candidateArtifactDigest,
-            '--platform',
-            requestedPlatform,
-            '--provenance=false',
-            '--push',
-            '--sbom=false',
-            '--tag',
-            taggedReference,
-            relative(repositoryRoot, input.context) || '.',
-          ], 'Native container build and push');
-        } finally {
-          cleanupReleaseBuilder();
-        }
+        const layerCache = buildxLayerCache(repositoryName, architecture);
+        await executeObservedBuildx([
+          'buildx',
+          'build',
+          '--builder',
+          platformBuilder.name,
+          ...(packageRegistry
+            ? [
+                '--build-arg',
+                'NPM_CONFIG_REGISTRY=' + packageRegistry,
+              ]
+            : []),
+          ...layerCache.arguments,
+          '--file',
+          relative(repositoryRoot, input.dockerfile),
+          '--label',
+          'org.opencontainers.image.revision=' + sourceCommit,
+          '--label',
+          'dev.empire-builder-kit.candidate-digest=' +
+            input.candidateArtifactDigest,
+          '--platform',
+          requestedPlatform,
+          '--provenance=false',
+          '--push',
+          '--sbom=false',
+          '--tag',
+          taggedReference,
+          relative(repositoryRoot, input.context) || '.',
+        ], 'Native container build and push');
+        layerCache.commit();
       }
       const imageDigest = exactImageByTag(repositoryName, tag);
       const imageReference = registry + '/' + repositoryName + '@' + imageDigest;
+      if (reusable && reusable.imageDigest !== imageDigest) {
+        throw new Error('Unchanged artifact re-tag differs from the baseline image.');
+      }
       if (
         stage === 'development' &&
         developmentSourcePlatform?.imageDigest !== imageDigest
@@ -2677,39 +2880,43 @@ if (mode === 'platform') {
         resolve(repositoryRoot, relativeRunProofPath),
         serializedRunProof,
       );
-      const closureRaw = String(
-        execute(
-          syft.path,
-          ['scan', 'registry:' + imageReference, '--output', 'syft-json'],
-          'Exact application npm closure inventory',
-          { env: { SYFT_CHECK_FOR_APP_UPDATE: 'false' } },
-        ),
-      );
-      let closureInventory;
-      try {
-        closureInventory = JSON.parse(closureRaw);
-      } catch {
-        throw new Error('Exact application npm closure inventory is invalid JSON.');
-      }
-      const observedClosure = npmClosureFor(closureInventory, {
-        applicationOnly: true,
-      });
-      if (
-        JSON.stringify(observedClosure) !==
-        JSON.stringify(expectedClosure.packages)
-      ) {
-        throw new Error(
-          'Container application npm closure differs from the independently deployed production closure.',
+      if (!reusable) {
+        const closureRaw = String(
+          execute(
+            syft.path,
+            ['scan', 'registry:' + imageReference, '--output', 'syft-json'],
+            'Exact application npm closure inventory',
+            { env: { SYFT_CHECK_FOR_APP_UPDATE: 'false' } },
+          ),
         );
+        let closureInventory;
+        try {
+          closureInventory = JSON.parse(closureRaw);
+        } catch {
+          throw new Error('Exact application npm closure inventory is invalid JSON.');
+        }
+        const observedClosure = npmClosureFor(closureInventory, {
+          applicationOnly: true,
+        });
+        if (
+          JSON.stringify(observedClosure) !==
+          JSON.stringify(expectedClosure.packages)
+        ) {
+          throw new Error(
+            'Container application npm closure differs from the independently deployed production closure.',
+          );
+        }
       }
-      const rawSbom = String(
-        execute(
-          syft.path,
-          ['scan', 'registry:' + imageReference, '--output', 'cyclonedx-json'],
-          'Exact platform OCI SBOM',
-          { env: { SYFT_CHECK_FOR_APP_UPDATE: 'false' } },
-        ),
-      );
+      const rawSbom = reusable
+        ? reusable.sbomBytes.toString('utf8')
+        : String(
+            execute(
+              syft.path,
+              ['scan', 'registry:' + imageReference, '--output', 'cyclonedx-json'],
+              'Exact platform OCI SBOM',
+              { env: { SYFT_CHECK_FOR_APP_UPDATE: 'false' } },
+            ),
+          );
       let sbom;
       try {
         sbom = parseCycloneDx(

package/src/supply-chain/generated-container-release-command.js.map

@@ -1 +1 @@
-{"version":3,"file":"generated-container-release-command.js","sourceRoot":"","sources":["../../../../../packages/nx/src/supply-chain/generated-container-release-command.ts"],"names":[],"mappings":";;;AAwJA,sEAu4FC;AA/hGD,6FAI8C;AAC9C,+EAAwF;AAE3E,QAAA,aAAa,GAAG,QAAiB,CAAC;AAE/C,MAAM,0BAA0B,GAAG,MAAM,CAAC,GAAG,CAAA;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;CA8B5C,CAAC;AAEF,MAAM,0BAA0B,GAAG,MAAM,CAAC,GAAG,CAAA;;;;;;;;;;;;;;;;;;;;;;;;;;CA0B5C,CAAC;AAQW,QAAA,cAAc,GACzB,MAAM,CAAC,MAAM,CAAC;IACZ,cAAc,EAAE;QACd,aAAa,EAAE,UAAU;QACzB,MAAM,EACJ,kEAAkE;QACpE,MAAM,EACJ,mHAAmH;KACtH;IACD,YAAY,EAAE;QACZ,aAAa,EAAE,UAAU;QACzB,MAAM,EACJ,kEAAkE;QACpE,MAAM,EACJ,oHAAoH;KACvH;IACD,aAAa,EAAE;QACb,aAAa,EAAE,UAAU;QACzB,MAAM,EACJ,kEAAkE;QACpE,MAAM,EACJ,kHAAkH;KACrH;IACD,WAAW,EAAE;QACX,aAAa,EAAE,UAAU;QACzB,MAAM,EACJ,kEAAkE;QACpE,MAAM,EACJ,mHAAmH;KACtH;CACF,CAAC,CAAC;AAEL,SAAS,iBAAiB,CACxB,QAAwD;IAExD,IACE,MAAM,CAAC,IAAI,CAAC,QAAQ,CAAC,CAAC,MAAM,KAAK,CAAC;QAClC,MAAM,CAAC,OAAO,CAAC,QAAQ,CAAC,CAAC,IAAI,CAC3B,CAAC,CAAC,QAAQ,EAAE,OAAO,CAAC,EAAE,EAAE,CACtB,CAAC,kCAAkC,CAAC,IAAI,CAAC,QAAQ,CAAC;YAClD,CAAC,CAAC,QAAQ,EAAE,UAAU,CAAC,CAAC,QAAQ,CAAC,OAAO,CAAC,aAAa,CAAC;YACvD,CAAC,gBAAgB,CAAC,IAAI,CAAC,OAAO,CAAC,MAAM,CAAC;YACtC,CAAC,6FAA6F,CAAC,IAAI,CACjG,OAAO,CAAC,MAAM,CACf,CACJ,EACD,CAAC;QACD,MAAM,IAAI,KAAK,CACb,gFAAgF,CACjF,CAAC;IACJ,CAAC;IACD,OAAO,QAAQ,CAAC;AAClB,CAAC;AAED,SAAS,sBAAsB,CAC7B,QAAgD;IAEhD,IACE,MAAM,CAAC,IAAI,CAAC,QAAQ,CAAC,CAAC,MAAM,KAAK,CAAC;QAClC,MAAM,CAAC,OAAO,CAAC,QAAQ,CAAC,CAAC,IAAI,CAC3B,CAAC,CAAC,QAAQ,EAAE,OAAO,CAAC,EAAE,EAAE,CACtB,CAAC,kCAAkC,CAAC,IAAI,CAAC,QAAQ,CAAC;YAClD,OAAO,CAAC,aAAa,KAAK,UAAU;YACpC,CAAC,gBAAgB,CAAC,IAAI,CAAC,OAAO,CAAC,MAAM,CAAC;YACtC,CAAC,4JAA4J,CAAC,IAAI,CAChK,OAAO,CAAC,MAAM,CACf,CACJ,EACD,CAAC;QACD,MAAM,IAAI,KAAK,CACb,iFAAiF,CAClF,CAAC;IACJ,CAAC;IACD,OAAO,QAAQ,CAAC;AAClB,CAAC;AAED,2EAA2E;AAC3E,SAAgB,6BAA6B,CAC3C,UAMI,EAAE;IAEN,MAAM,eAAe,GACnB,OAAO,CAAC,eAAe,IAAI,qCAAqC,CAAC;IACnE,MAAM,QAAQ,GAAG,iBAAiB,CAChC,OAAO,CAAC,QAAQ,IAAI,4DAAuB,CAC5C,CAAC;IACF,MAAM,WAAW,GAAG,OAAO,CAAC,WAAW,IAAI,iDAAY,CAAC;IACxD,MAAM,aAAa,GAAG,sBAAsB,CAC1C,OAAO,CAAC,aAAa,IAAI,sBAAc,CACxC,CAAC;IACF,MAAM,YAAY,GAAG,OAAO,CAAC,YAAY,IAAI,qBAAa,CAAC;IAC3D,IACE,CAAC,iEAAiE,CAAC,IAAI,CACrE,eAAe,CAChB;QACD,CAAC,iBAAiB,CAAC,IAAI,CAAC,WAAW,CAAC;QACpC,CAAC,iBAAiB,CAAC,IAAI,CAAC,YAAY,CAAC,EACrC,CAAC;QACD,MAAM,IAAI,KAAK,CACb,2DAA2D,CAC5D,CAAC;IACJ,CAAC;IAED,OAAO;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;UAgCC,eAAe;;uBAEF,IAAI,CAAC,SAAS,CAAC,WAAW,CAAC;sCACZ,IAAI,CAAC,SAAS,CAAC,QAAQ,CAAC;wBACtC,IAAI,CAAC,SAAS,CAAC,YAAY,CAAC;uCACb,IAAI,CAAC,SAAS,CAAC,aAAa,CAAC;qCAC/B,IAAI,CAAC,SAAS,CAAC,0BAA0B,CAAC;qCAC1C,IAAI,CAAC,SAAS,CAAC,0BAA0B,CAAC;;;;+BAIhD,IAAI,CAAC,SAAS,CAAC,IAAA,2CAA0B,GAAE,CAAC;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;CA4zF1E,CAAC;AACF,CAAC"}
+{"version":3,"file":"generated-container-release-command.js","sourceRoot":"","sources":["../../../../../packages/nx/src/supply-chain/generated-container-release-command.ts"],"names":[],"mappings":";;;AAwJA,sEAslGC;AA9uGD,6FAI8C;AAC9C,+EAAwF;AAE3E,QAAA,aAAa,GAAG,QAAiB,CAAC;AAE/C,MAAM,0BAA0B,GAAG,MAAM,CAAC,GAAG,CAAA;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;CA8B5C,CAAC;AAEF,MAAM,0BAA0B,GAAG,MAAM,CAAC,GAAG,CAAA;;;;;;;;;;;;;;;;;;;;;;;;;;CA0B5C,CAAC;AAQW,QAAA,cAAc,GACzB,MAAM,CAAC,MAAM,CAAC;IACZ,cAAc,EAAE;QACd,aAAa,EAAE,UAAU;QACzB,MAAM,EACJ,kEAAkE;QACpE,MAAM,EACJ,mHAAmH;KACtH;IACD,YAAY,EAAE;QACZ,aAAa,EAAE,UAAU;QACzB,MAAM,EACJ,kEAAkE;QACpE,MAAM,EACJ,oHAAoH;KACvH;IACD,aAAa,EAAE;QACb,aAAa,EAAE,UAAU;QACzB,MAAM,EACJ,kEAAkE;QACpE,MAAM,EACJ,kHAAkH;KACrH;IACD,WAAW,EAAE;QACX,aAAa,EAAE,UAAU;QACzB,MAAM,EACJ,kEAAkE;QACpE,MAAM,EACJ,mHAAmH;KACtH;CACF,CAAC,CAAC;AAEL,SAAS,iBAAiB,CACxB,QAAwD;IAExD,IACE,MAAM,CAAC,IAAI,CAAC,QAAQ,CAAC,CAAC,MAAM,KAAK,CAAC;QAClC,MAAM,CAAC,OAAO,CAAC,QAAQ,CAAC,CAAC,IAAI,CAC3B,CAAC,CAAC,QAAQ,EAAE,OAAO,CAAC,EAAE,EAAE,CACtB,CAAC,kCAAkC,CAAC,IAAI,CAAC,QAAQ,CAAC;YAClD,CAAC,CAAC,QAAQ,EAAE,UAAU,CAAC,CAAC,QAAQ,CAAC,OAAO,CAAC,aAAa,CAAC;YACvD,CAAC,gBAAgB,CAAC,IAAI,CAAC,OAAO,CAAC,MAAM,CAAC;YACtC,CAAC,6FAA6F,CAAC,IAAI,CACjG,OAAO,CAAC,MAAM,CACf,CACJ,EACD,CAAC;QACD,MAAM,IAAI,KAAK,CACb,gFAAgF,CACjF,CAAC;IACJ,CAAC;IACD,OAAO,QAAQ,CAAC;AAClB,CAAC;AAED,SAAS,sBAAsB,CAC7B,QAAgD;IAEhD,IACE,MAAM,CAAC,IAAI,CAAC,QAAQ,CAAC,CAAC,MAAM,KAAK,CAAC;QAClC,MAAM,CAAC,OAAO,CAAC,QAAQ,CAAC,CAAC,IAAI,CAC3B,CAAC,CAAC,QAAQ,EAAE,OAAO,CAAC,EAAE,EAAE,CACtB,CAAC,kCAAkC,CAAC,IAAI,CAAC,QAAQ,CAAC;YAClD,OAAO,CAAC,aAAa,KAAK,UAAU;YACpC,CAAC,gBAAgB,CAAC,IAAI,CAAC,OAAO,CAAC,MAAM,CAAC;YACtC,CAAC,4JAA4J,CAAC,IAAI,CAChK,OAAO,CAAC,MAAM,CACf,CACJ,EACD,CAAC;QACD,MAAM,IAAI,KAAK,CACb,iFAAiF,CAClF,CAAC;IACJ,CAAC;IACD,OAAO,QAAQ,CAAC;AAClB,CAAC;AAED,2EAA2E;AAC3E,SAAgB,6BAA6B,CAC3C,UAMI,EAAE;IAEN,MAAM,eAAe,GACnB,OAAO,CAAC,eAAe,IAAI,qCAAqC,CAAC;IACnE,MAAM,QAAQ,GAAG,iBAAiB,CAChC,OAAO,CAAC,QAAQ,IAAI,4DAAuB,CAC5C,CAAC;IACF,MAAM,WAAW,GAAG,OAAO,CAAC,WAAW,IAAI,iDAAY,CAAC;IACxD,MAAM,aAAa,GAAG,sBAAsB,CAC1C,OAAO,CAAC,aAAa,IAAI,sBAAc,CACxC,CAAC;IACF,MAAM,YAAY,GAAG,OAAO,CAAC,YAAY,IAAI,qBAAa,CAAC;IAC3D,IACE,CAAC,iEAAiE,CAAC,IAAI,CACrE,eAAe,CAChB;QACD,CAAC,iBAAiB,CAAC,IAAI,CAAC,WAAW,CAAC;QACpC,CAAC,iBAAiB,CAAC,IAAI,CAAC,YAAY,CAAC,EACrC,CAAC;QACD,MAAM,IAAI,KAAK,CACb,2DAA2D,CAC5D,CAAC;IACJ,CAAC;IAED,OAAO;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;UAkCC,eAAe;;uBAEF,IAAI,CAAC,SAAS,CAAC,WAAW,CAAC;sCACZ,IAAI,CAAC,SAAS,CAAC,QAAQ,CAAC;wBACtC,IAAI,CAAC,SAAS,CAAC,YAAY,CAAC;uCACb,IAAI,CAAC,SAAS,CAAC,aAAa,CAAC;qCAC/B,IAAI,CAAC,SAAS,CAAC,0BAA0B,CAAC;qCAC1C,IAAI,CAAC,SAAS,CAAC,0BAA0B,CAAC;;;;+BAIhD,IAAI,CAAC,SAAS,CAAC,IAAA,2CAA0B,GAAE,CAAC;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;CAygG1E,CAAC;AACF,CAAC"}

package/src/supply-chain/generated-files.js

@@ -78,17 +78,16 @@ function frameworkActionPinInventory() {
             key,
             {
                 ...pin,
-                scope: key === 'nxSetShas'
-                    ? 'framework'
-                    : [
-                        'checkout',
-                        'downloadArtifact',
-                        'pnpmSetup',
-                        'setupNode',
-                        'uploadArtifact',
-                    ].includes(key)
-                        ? 'both'
-                        : 'consumer',
+                scope: [
+                    'checkout',
+                    'downloadArtifact',
+                    'nxSetShas',
+                    'pnpmSetup',
+                    'setupNode',
+                    'uploadArtifact',
+                ].includes(key)
+                    ? 'both'
+                    : 'consumer',
             },
         ])),
         containers: {},
@@ -265,6 +264,17 @@ permissions, advisories, alternatives, removal path, and owning team in the
 pull request. Changes to \`allowBuilds\` require a matching exact-package record
 with owner, rationale, work item, and approval time.
 
+Pin reviewed transitive fixes in the seeded
+\`supply-chain/dependency-overrides.json\` file, using
+\`{"schemaVersion":1,"overrides":{"package@range":"1.2.3"}}\`.
+Parent selectors such as \`parent>dependency\` are supported. Values must be
+exact npm versions; alternate registries, local paths, hooks, and ranges are
+not admitted by this surface. Report and apply \`nx g @empire-builder-kit/nx:upgrade workspace\`
+to generate the effective managed \`pnpm-workspace.yaml\`, then run
+\`pnpm install\` to reconcile its lockfile and installed dependency state.
+Review the lockfile and rerun affected checks. Never edit the managed YAML or
+ownership hashes. Pins do not waive the existing supply-chain policies.
+
 The license lists are organization-owned policy, not legal conclusions.
 Unknown and changed licenses require review. Exceptions are exact-component,
 approved, expiring records with compensating controls and recheck triggers.

package/src/supply-chain/generated-files.js.map

@@ -1 +1 @@
-{"version":3,"file":"generated-files.js","sourceRoot":"","sources":["../../../../../packages/nx/src/supply-chain/generated-files.ts"],"names":[],"mappings":";;;AAgDA,8EAmDC;AAMD,kEAyBC;AAED,0EAoTC;AAxbD,sEAAyD;AAEzD,iEAAkE;AAClE,qDAG0B;AAE1B,6DAM8B;AAC9B,iGAGgD;AAChD,iEAAuE;AACvE,6FAI8C;AAC9C,qGAGkD;AAClD,iFAAiF;AACjF,2CAAiE;AACjE,6CAAyE;AAQ5D,QAAA,iCAAiC,GAAG;IAC/C,WAAW;IACX,SAAS;IACT,IAAI;IACJ,YAAY;IACZ,OAAO;IACP,eAAe;CACP,CAAC;AAEX,SAAgB,iCAAiC;IAC/C,OAAO;QACL;YACE,UAAU,EAAE,0BAA0B;YACtC,KAAK,EAAE,2CAA2C;YAClD,OAAO,EAAE,WAAW;YACpB,SAAS,EACP,uEAAuE;YACzE,QAAQ,EAAE,2CAA2C;SACtD;QACD;YACE,UAAU,EAAE,0BAA0B;YACtC,KAAK,EAAE,2CAA2C;YAClD,OAAO,EAAE,SAAS;YAClB,SAAS,EACP,kGAAkG;YACpG,QAAQ,EAAE,2CAA2C;SACtD;QACD;YACE,UAAU,EAAE,0BAA0B;YACtC,KAAK,EAAE,2CAA2C;YAClD,OAAO,EAAE,IAAI;YACb,SAAS,EACP,6EAA6E;YAC/E,QAAQ,EAAE,2CAA2C;SACtD;QACD;YACE,UAAU,EAAE,0BAA0B;YACtC,KAAK,EAAE,2CAA2C;YAClD,OAAO,EAAE,YAAY;YACrB,SAAS,EACP,kIAAkI;YACpI,QAAQ,EAAE,uCAAuC;SAClD;QACD;YACE,UAAU,EAAE,0BAA0B;YACtC,KAAK,EAAE,2CAA2C;YAClD,OAAO,EAAE,OAAO;YAChB,SAAS,EACP,iGAAiG;YACnG,QAAQ,EAAE,2CAA2C;SACtD;QACD;YACE,UAAU,EAAE,0BAA0B;YACtC,KAAK,EAAE,2CAA2C;YAClD,OAAO,EAAE,eAAe;YACxB,SAAS,EACP,yFAAyF;YAC3F,QAAQ,EAAE,2CAA2C;SACtD;KACF,CAAC;AACJ,CAAC;AAED,SAAS,IAAI,CAAC,KAAc;IAC1B,OAAO,GAAG,IAAI,CAAC,SAAS,CAAC,KAAK,EAAE,IAAI,EAAE,CAAC,CAAC,IAAI,CAAC;AAC/C,CAAC;AAED,SAAgB,2BAA2B;IACzC,OAAO;QACL,OAAO,EAAE,MAAM,CAAC,WAAW,CACzB,MAAM,CAAC,OAAO,CAAC,mCAAkB,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,GAAG,EAAE,GAAG,CAAC,EAAE,EAAE,CAAC;YACrD,GAAG;YACH;gBACE,GAAG,GAAG;gBACN,KAAK,EACH,GAAG,KAAK,WAAW;oBACjB,CAAC,CAAC,WAAW;oBACb,CAAC,CAAC;wBACI,UAAU;wBACV,kBAAkB;wBAClB,WAAW;wBACX,WAAW;wBACX,gBAAgB;qBACjB,CAAC,QAAQ,CAAC,GAAG,CAAC;wBACjB,CAAC,CAAC,MAAM;wBACR,CAAC,CAAC,UAAU;aACnB;SACF,CAAC,CACH;QACD,UAAU,EAAE,EAAE;QACd,aAAa,EAAE,oDAAmC;KACnD,CAAC;AACJ,CAAC;AAED,SAAgB,+BAA+B,CAAC,KAE/C;IACC,MAAM,QAAQ,GAA2B,IAAA,iDAA4B,EAAC;QACpE,OAAO,EAAE,EAAE;QACX,WAAW,EAAE,KAAK,CAAC,WAAW;QAC9B,aAAa,EAAE,mDAA8B;QAC7C,QAAQ,EAAE,CAAC;QACX,MAAM,EAAE;YACN,IAAI,EAAE,qBAAqB;YAC3B,SAAS,EAAE,wBAAwB;SACpC;KACF,CAAC,CAAC;IACH,MAAM,WAAW,GAAyB;QACxC,kBAAkB,EAAE,EAAE;QACtB,gBAAgB,EAAE,EAAE;QACpB,UAAU,EAAE,EAAE;QACd,aAAa,EAAE,mDAA8B;QAC7C,cAAc,EAAE,IAAA,iDAA4B,EAAC,QAAQ,CAAC;KACvD,CAAC;IACF,MAAM,KAAK,GAAG;QACZ,wBAAwB,EAAE;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;CA6C7B;QACG,2BAA2B,EAAE,IAAI,CAAC,2BAA2B,EAAE,CAAC;QAChE,0CAA0C,EAAE,IAAI,CAAC,WAAW,CAAC;QAC7D,4CAA4C,EAAE,IAAI,CAAC,QAAQ,CAAC;QAC5D,qCAAqC,EAAE,IAAI,CAAC;YAC1C,OAAO,EAAE,iCAAiC,EAAE;YAC5C,aAAa,EAAE,8CAAkC;SAClD,CAAC;QACF,8BAA8B,EAAE,IAAI,CAAC;YACnC,OAAO,EAAE,EAAE;YACX,aAAa,EAAE,8CAAkC;SAClD,CAAC;QACF,oCAAoC,EAAE,IAAI,CAAC;YACzC,OAAO,EAAE;gBACP,GAAG,MAAM,CAAC,OAAO,CAAC,iCAAoB,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,QAAQ,EAAE,OAAO,CAAC,EAAE,EAAE,CAAC,CAAC;oBACpE,MAAM,EAAE,OAAO,CAAC,MAAM;oBACtB,IAAI,EAAE,eAAe,QAAQ,EAAE;oBAC/B,MAAM,EAAE,4DAA4D,gCAAmB,IAAI,OAAO,CAAC,IAAI,EAAE;oBACzG,OAAO,EAAE,gCAAmB;iBAC7B,CAAC,CAAC;gBACH,GAAG,MAAM,CAAC,OAAO,CAAC,4DAAuB,CAAC,CAAC,GAAG,CAC5C,CAAC,CAAC,QAAQ,EAAE,OAAO,CAAC,EAAE,EAAE,CAAC,CAAC;oBACxB,MAAM,EAAE,OAAO,CAAC,MAAM;oBACtB,IAAI,EAAE,QAAQ,QAAQ,EAAE;oBACxB,MAAM,EAAE,OAAO,CAAC,MAAM;oBACtB,OAAO,EAAE,iDAAY;iBACtB,CAAC,CACH;aACF,CAAC,IAAI,CAAC,CAAC,IAAI,EAAE,KAAK,EAAE,EAAE,CAAC,IAAA,qCAAY,EAAC,IAAI,CAAC,IAAI,EAAE,KAAK,CAAC,IAAI,CAAC,CAAC;YAC5D,aAAa,EAAE,8CAAkC;SAClD,CAAC;QACF,kCAAkC,EAAE,IAAI,CAAC;YACvC,KAAK,EAAE;gBACL,MAAM;gBACN,YAAY;gBACZ,cAAc;gBACd,cAAc;gBACd,cAAc;gBACd,eAAe;gBACf,WAAW;gBACX,SAAS;gBACT,KAAK;gBACL,KAAK;gBACL,OAAO;gBACP,SAAS;gBACT,YAAY;gBACZ,WAAW;gBACX,OAAO;aACR;YACD,IAAI,EAAE,EAAE;YACR,MAAM,EAAE,CAAC,oBAAoB,CAAC;YAC9B,aAAa,EAAE,8CAAkC;SAClD,CAAC;QACF,oCAAoC,EAAE,IAAI,CAAC;YACzC,OAAO,EAAE,EAAE;YACX,aAAa,EAAE,8CAAkC;SAClD,CAAC;QACF,4CAA4C,EAAE,IAAI,CAAC;YACjD,IAAI,EAAE,gCAAgC;YACtC,QAAQ,EAAE,EAAE;YACZ,gBAAgB,EAAE,CAAC,KAAK,EAAE,WAAW,EAAE,iBAAiB,CAAC;YACzD,OAAO,EAAE;gBACP,QAAQ,EAAE,EAAE;gBACZ,eAAe,EAAE,GAAG,CAAC,MAAM,CAAC,EAAE,CAAC;gBAC/B,SAAS,EAAE,0BAA0B;gBACrC,aAAa,EAAE,CAAC;gBAChB,MAAM,EAAE,aAAa;gBACrB,IAAI,EAAE,uBAAuB;gBAC7B,OAAO,EAAE,GAAG;aACb;YACD,aAAa,EAAE,CAAC;YAChB,OAAO,EAAE;gBACP,wBAAwB,EAAE,GAAG,CAAC,MAAM,CAAC,EAAE,CAAC;gBACxC,cAAc,EAAE,GAAG,CAAC,MAAM,CAAC,EAAE,CAAC;gBAC9B,gBAAgB,EAAE,GAAG,CAAC,MAAM,CAAC,EAAE,CAAC;gBAChC,aAAa,EAAE,EAAE;gBACjB,sBAAsB,EAAE,GAAG,CAAC,MAAM,CAAC,EAAE,CAAC;aACvC;YACD,eAAe,EAAE,EAAE;SACpB,CAAC;QACF,wCAAwC,EAAE,IAAI,CAAC;YAC7C,KAAK,EAAE;gBACL,QAAQ,EAAE,CAAC,SAAS,EAAE,WAAW,EAAE,SAAS,CAAC;gBAC7C,IAAI,EAAE,CAAC,SAAS,EAAE,WAAW,EAAE,SAAS,CAAC;gBACzC,GAAG,EAAE,EAAE;gBACP,MAAM,EAAE,CAAC,SAAS,CAAC;gBACnB,OAAO,EAAE,CAAC,SAAS,EAAE,eAAe,EAAE,WAAW,EAAE,SAAS,CAAC;aAC9D;YACD,aAAa,EAAE,8CAAkC;SAClD,CAAC;QACF,iCAAiC,EAAE,IAAA,uEAAgC,GAAE;QACrE,gDAAgD,EAC9C,IAAA,8EAAuC,GAAE;QAC3C,6BAA6B,EAAE,IAAA,sEAA6B,GAAE;QAC9D,iCAAiC,EAAE,IAAA,uEAAkC,GAAE;QACvE,8BAA8B,EAAE,IAAA,oDAA6B,GAAE;QAC/D,6BAA6B,EAAE,IAAA,8DAA+B,GAAE;QAChE,wBAAwB,EAAE;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;0BA0CJ,sDAAa;;;;;;;;;;;;;;;;;;;;;;;;6CAwBM,gCAAmB;;;;;;;;;;;;;;;;;;;;0DAoBN,iDAAY;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;CAgCrE;KACW,CAAC;IACX,OAAO;QACL,KAAK;QACL,OAAO,EAAE;YACP,2BAA2B;YAC3B,oCAAoC;YACpC,4CAA4C;YAC5C,iCAAiC;YACjC,gDAAgD;YAChD,6BAA6B;YAC7B,iCAAiC;YACjC,8BAA8B;YAC9B,6BAA6B;SAC9B;QACD,MAAM,EAAE;YACN,wBAAwB;YACxB,wBAAwB;YACxB,0CAA0C;YAC1C,4CAA4C;YAC5C,qCAAqC;YACrC,8BAA8B;YAC9B,kCAAkC;YAClC,oCAAoC;YACpC,wCAAwC;SACzC;KACF,CAAC;AACJ,CAAC"}
+{"version":3,"file":"generated-files.js","sourceRoot":"","sources":["../../../../../packages/nx/src/supply-chain/generated-files.ts"],"names":[],"mappings":";;;AAgDA,8EAmDC;AAMD,kEAuBC;AAED,0EA+TC;AAjcD,sEAAyD;AAEzD,iEAAkE;AAClE,qDAG0B;AAE1B,6DAM8B;AAC9B,iGAGgD;AAChD,iEAAuE;AACvE,6FAI8C;AAC9C,qGAGkD;AAClD,iFAAiF;AACjF,2CAAiE;AACjE,6CAAyE;AAQ5D,QAAA,iCAAiC,GAAG;IAC/C,WAAW;IACX,SAAS;IACT,IAAI;IACJ,YAAY;IACZ,OAAO;IACP,eAAe;CACP,CAAC;AAEX,SAAgB,iCAAiC;IAC/C,OAAO;QACL;YACE,UAAU,EAAE,0BAA0B;YACtC,KAAK,EAAE,2CAA2C;YAClD,OAAO,EAAE,WAAW;YACpB,SAAS,EACP,uEAAuE;YACzE,QAAQ,EAAE,2CAA2C;SACtD;QACD;YACE,UAAU,EAAE,0BAA0B;YACtC,KAAK,EAAE,2CAA2C;YAClD,OAAO,EAAE,SAAS;YAClB,SAAS,EACP,kGAAkG;YACpG,QAAQ,EAAE,2CAA2C;SACtD;QACD;YACE,UAAU,EAAE,0BAA0B;YACtC,KAAK,EAAE,2CAA2C;YAClD,OAAO,EAAE,IAAI;YACb,SAAS,EACP,6EAA6E;YAC/E,QAAQ,EAAE,2CAA2C;SACtD;QACD;YACE,UAAU,EAAE,0BAA0B;YACtC,KAAK,EAAE,2CAA2C;YAClD,OAAO,EAAE,YAAY;YACrB,SAAS,EACP,kIAAkI;YACpI,QAAQ,EAAE,uCAAuC;SAClD;QACD;YACE,UAAU,EAAE,0BAA0B;YACtC,KAAK,EAAE,2CAA2C;YAClD,OAAO,EAAE,OAAO;YAChB,SAAS,EACP,iGAAiG;YACnG,QAAQ,EAAE,2CAA2C;SACtD;QACD;YACE,UAAU,EAAE,0BAA0B;YACtC,KAAK,EAAE,2CAA2C;YAClD,OAAO,EAAE,eAAe;YACxB,SAAS,EACP,yFAAyF;YAC3F,QAAQ,EAAE,2CAA2C;SACtD;KACF,CAAC;AACJ,CAAC;AAED,SAAS,IAAI,CAAC,KAAc;IAC1B,OAAO,GAAG,IAAI,CAAC,SAAS,CAAC,KAAK,EAAE,IAAI,EAAE,CAAC,CAAC,IAAI,CAAC;AAC/C,CAAC;AAED,SAAgB,2BAA2B;IACzC,OAAO;QACL,OAAO,EAAE,MAAM,CAAC,WAAW,CACzB,MAAM,CAAC,OAAO,CAAC,mCAAkB,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,GAAG,EAAE,GAAG,CAAC,EAAE,EAAE,CAAC;YACrD,GAAG;YACH;gBACE,GAAG,GAAG;gBACN,KAAK,EAAE;oBACL,UAAU;oBACV,kBAAkB;oBAClB,WAAW;oBACX,WAAW;oBACX,WAAW;oBACX,gBAAgB;iBACjB,CAAC,QAAQ,CAAC,GAAG,CAAC;oBACb,CAAC,CAAC,MAAM;oBACR,CAAC,CAAC,UAAU;aACf;SACF,CAAC,CACH;QACD,UAAU,EAAE,EAAE;QACd,aAAa,EAAE,oDAAmC;KACnD,CAAC;AACJ,CAAC;AAED,SAAgB,+BAA+B,CAAC,KAE/C;IACC,MAAM,QAAQ,GAA2B,IAAA,iDAA4B,EAAC;QACpE,OAAO,EAAE,EAAE;QACX,WAAW,EAAE,KAAK,CAAC,WAAW;QAC9B,aAAa,EAAE,mDAA8B;QAC7C,QAAQ,EAAE,CAAC;QACX,MAAM,EAAE;YACN,IAAI,EAAE,qBAAqB;YAC3B,SAAS,EAAE,wBAAwB;SACpC;KACF,CAAC,CAAC;IACH,MAAM,WAAW,GAAyB;QACxC,kBAAkB,EAAE,EAAE;QACtB,gBAAgB,EAAE,EAAE;QACpB,UAAU,EAAE,EAAE;QACd,aAAa,EAAE,mDAA8B;QAC7C,cAAc,EAAE,IAAA,iDAA4B,EAAC,QAAQ,CAAC;KACvD,CAAC;IACF,MAAM,KAAK,GAAG;QACZ,wBAAwB,EAAE;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;CA6C7B;QACG,2BAA2B,EAAE,IAAI,CAAC,2BAA2B,EAAE,CAAC;QAChE,0CAA0C,EAAE,IAAI,CAAC,WAAW,CAAC;QAC7D,4CAA4C,EAAE,IAAI,CAAC,QAAQ,CAAC;QAC5D,qCAAqC,EAAE,IAAI,CAAC;YAC1C,OAAO,EAAE,iCAAiC,EAAE;YAC5C,aAAa,EAAE,8CAAkC;SAClD,CAAC;QACF,8BAA8B,EAAE,IAAI,CAAC;YACnC,OAAO,EAAE,EAAE;YACX,aAAa,EAAE,8CAAkC;SAClD,CAAC;QACF,oCAAoC,EAAE,IAAI,CAAC;YACzC,OAAO,EAAE;gBACP,GAAG,MAAM,CAAC,OAAO,CAAC,iCAAoB,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,QAAQ,EAAE,OAAO,CAAC,EAAE,EAAE,CAAC,CAAC;oBACpE,MAAM,EAAE,OAAO,CAAC,MAAM;oBACtB,IAAI,EAAE,eAAe,QAAQ,EAAE;oBAC/B,MAAM,EAAE,4DAA4D,gCAAmB,IAAI,OAAO,CAAC,IAAI,EAAE;oBACzG,OAAO,EAAE,gCAAmB;iBAC7B,CAAC,CAAC;gBACH,GAAG,MAAM,CAAC,OAAO,CAAC,4DAAuB,CAAC,CAAC,GAAG,CAC5C,CAAC,CAAC,QAAQ,EAAE,OAAO,CAAC,EAAE,EAAE,CAAC,CAAC;oBACxB,MAAM,EAAE,OAAO,CAAC,MAAM;oBACtB,IAAI,EAAE,QAAQ,QAAQ,EAAE;oBACxB,MAAM,EAAE,OAAO,CAAC,MAAM;oBACtB,OAAO,EAAE,iDAAY;iBACtB,CAAC,CACH;aACF,CAAC,IAAI,CAAC,CAAC,IAAI,EAAE,KAAK,EAAE,EAAE,CAAC,IAAA,qCAAY,EAAC,IAAI,CAAC,IAAI,EAAE,KAAK,CAAC,IAAI,CAAC,CAAC;YAC5D,aAAa,EAAE,8CAAkC;SAClD,CAAC;QACF,kCAAkC,EAAE,IAAI,CAAC;YACvC,KAAK,EAAE;gBACL,MAAM;gBACN,YAAY;gBACZ,cAAc;gBACd,cAAc;gBACd,cAAc;gBACd,eAAe;gBACf,WAAW;gBACX,SAAS;gBACT,KAAK;gBACL,KAAK;gBACL,OAAO;gBACP,SAAS;gBACT,YAAY;gBACZ,WAAW;gBACX,OAAO;aACR;YACD,IAAI,EAAE,EAAE;YACR,MAAM,EAAE,CAAC,oBAAoB,CAAC;YAC9B,aAAa,EAAE,8CAAkC;SAClD,CAAC;QACF,oCAAoC,EAAE,IAAI,CAAC;YACzC,OAAO,EAAE,EAAE;YACX,aAAa,EAAE,8CAAkC;SAClD,CAAC;QACF,4CAA4C,EAAE,IAAI,CAAC;YACjD,IAAI,EAAE,gCAAgC;YACtC,QAAQ,EAAE,EAAE;YACZ,gBAAgB,EAAE,CAAC,KAAK,EAAE,WAAW,EAAE,iBAAiB,CAAC;YACzD,OAAO,EAAE;gBACP,QAAQ,EAAE,EAAE;gBACZ,eAAe,EAAE,GAAG,CAAC,MAAM,CAAC,EAAE,CAAC;gBAC/B,SAAS,EAAE,0BAA0B;gBACrC,aAAa,EAAE,CAAC;gBAChB,MAAM,EAAE,aAAa;gBACrB,IAAI,EAAE,uBAAuB;gBAC7B,OAAO,EAAE,GAAG;aACb;YACD,aAAa,EAAE,CAAC;YAChB,OAAO,EAAE;gBACP,wBAAwB,EAAE,GAAG,CAAC,MAAM,CAAC,EAAE,CAAC;gBACxC,cAAc,EAAE,GAAG,CAAC,MAAM,CAAC,EAAE,CAAC;gBAC9B,gBAAgB,EAAE,GAAG,CAAC,MAAM,CAAC,EAAE,CAAC;gBAChC,aAAa,EAAE,EAAE;gBACjB,sBAAsB,EAAE,GAAG,CAAC,MAAM,CAAC,EAAE,CAAC;aACvC;YACD,eAAe,EAAE,EAAE;SACpB,CAAC;QACF,wCAAwC,EAAE,IAAI,CAAC;YAC7C,KAAK,EAAE;gBACL,QAAQ,EAAE,CAAC,SAAS,EAAE,WAAW,EAAE,SAAS,CAAC;gBAC7C,IAAI,EAAE,CAAC,SAAS,EAAE,WAAW,EAAE,SAAS,CAAC;gBACzC,GAAG,EAAE,EAAE;gBACP,MAAM,EAAE,CAAC,SAAS,CAAC;gBACnB,OAAO,EAAE,CAAC,SAAS,EAAE,eAAe,EAAE,WAAW,EAAE,SAAS,CAAC;aAC9D;YACD,aAAa,EAAE,8CAAkC;SAClD,CAAC;QACF,iCAAiC,EAAE,IAAA,uEAAgC,GAAE;QACrE,gDAAgD,EAC9C,IAAA,8EAAuC,GAAE;QAC3C,6BAA6B,EAAE,IAAA,sEAA6B,GAAE;QAC9D,iCAAiC,EAAE,IAAA,uEAAkC,GAAE;QACvE,8BAA8B,EAAE,IAAA,oDAA6B,GAAE;QAC/D,6BAA6B,EAAE,IAAA,8DAA+B,GAAE;QAChE,wBAAwB,EAAE;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;0BAqDJ,sDAAa;;;;;;;;;;;;;;;;;;;;;;;;6CAwBM,gCAAmB;;;;;;;;;;;;;;;;;;;;0DAoBN,iDAAY;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;CAgCrE;KACW,CAAC;IACX,OAAO;QACL,KAAK;QACL,OAAO,EAAE;YACP,2BAA2B;YAC3B,oCAAoC;YACpC,4CAA4C;YAC5C,iCAAiC;YACjC,gDAAgD;YAChD,6BAA6B;YAC7B,iCAAiC;YACjC,8BAA8B;YAC9B,6BAA6B;SAC9B;QACD,MAAM,EAAE;YACN,wBAAwB;YACxB,wBAAwB;YACxB,0CAA0C;YAC1C,4CAA4C;YAC5C,qCAAqC;YACrC,8BAA8B;YAC9B,kCAAkC;YAClC,oCAAoC;YACpC,wCAAwC;SACzC;KACF,CAAC;AACJ,CAAC"}

package/src/supply-chain/generated-scanner-command.js

@@ -428,7 +428,7 @@ async function resolveOsvBinary() {
   }
   const target = options.osv
     ? insideWorkspace(options.osv)
-    : insideWorkspace('.ebk/tools/' + release.name);
+    : insideWorkspace('.ebk/cache/tools/' + release.name);
   if (!options.osv && !existsSync(target)) {
     const response = await fetch(
       'https://github.com/google/osv-scanner/releases/download/v' +

package/src/supply-chain/scanner.js

@@ -277,6 +277,9 @@ function severity(value) {
     const candidate = (0, validation_js_1.isRecord)(value) && typeof value.severity === 'string'
         ? value.severity.toLowerCase()
         : '';
+    // GitHub's GraphQL/advisory data uses MODERATE for the REST medium tier.
+    if (candidate === 'moderate')
+        return 'medium';
     return ['critical', 'high', 'medium', 'low'].includes(candidate)
         ? candidate
         : 'unknown';