dependfix 0.2.0 → 0.3.2

package/dist/index.d.mts

@@ -1,255 +1,6 @@
-import { AlertSourceKind, AppError, FixAction, NormalizedSecurityAlert, RunResult, SeverityThreshold } from "@dependfix/core";
-import { Octokit } from "@octokit/rest";
+import { CliConfigOverrides, RuntimeConfig, RuntimeMode, resolveRuntimeConfig } from "@dependfix/engine";
 export * from "@dependfix/core";
-//#region src/config/index.d.ts
-declare const RUNTIME_MODES: readonly ["report-only", "fix", "fix-and-pr", "cleanup-branches"];
-declare const SEVERITY_THRESHOLDS: readonly ["critical", "high", "medium", "all"];
-declare const ALERT_SOURCES: readonly AlertSourceKind[];
-/**
- * 环境变量统一前缀（v0.2 起替代旧项目名遗留的 `AUTO_FIX_GITHUB_SECURITY_`）。
- * 所有环境变量读取必须经由 {@link readEnv}，禁止散落硬编码，防止改名漏网。
- */
-declare const ENV_PREFIX = "DEPENDFIX_";
-/**
- * 从统一前缀读取环境变量。
- * @param env 进程环境
- * @param name 变量名（不含前缀），如 `'MODE'` → `DEPENDFIX_MODE`
- */
-declare function readEnv(env: NodeJS.ProcessEnv, name: string): string | undefined;
-type RuntimeMode = typeof RUNTIME_MODES[number];
-interface RuntimeConfig {
-  mode: RuntimeMode;
-  severityThreshold: SeverityThreshold;
-  repositories: string[];
-  /**
-   * owner / org 列表（`--owner` / `DEPENDFIX_OWNER`）。
-   * 提供时按 owner 自动发现仓库：与显式 `repositories` 合并去重
-   * （显式优先，发现仅补充未出现项）。适用于 report-only / fix / fix-and-pr。
-   */
-  owner?: string[];
-  /**
-   * 发现结果的 topic 白名单（`--repo-topics` / `DEPENDFIX_REPO_TOPICS`，AND 语义）。
-   * 仓库必须包含全部指定 topics 才保留。仅影响发现结果，不影响显式列表。
-   */
-  repoTopics?: string[];
-  /**
-   * 仓库白名单 glob（`--repo-include`，如 `owner/*`、`owner/pkg-*`）。
-   * 仅作用于发现结果；显式 repositories 列表不受 include 影响（显式优先）。
-   */
-  repoInclude?: string[];
-  /**
-   * 仓库黑名单 glob（`--repo-exclude`）。
-   * 显式列表与发现结果均受 exclude 约束；与 include 冲突时 exclude 胜出。
-   */
-  repoExclude?: string[];
-  /**
-   * 发现结果 topic 黑名单（`--repo-topics-exclude`）：
-   * 排除含任一指定 topic 的仓库。仅作用于发现结果（显式列表无 topics 元数据）。
-   */
-  repoTopicsExclude?: string[];
-  dryRun: boolean;
-  createPullRequest: boolean;
-  /** 修复完成后是否在本地当前分支直接提交（不推送、不创建 PR） */
-  commit: boolean;
-  /** fix-and-pr 模式下结束后是否列出已合并的 dependfix 分支到报告（不自动删除） */
-  cleanupBranches: boolean;
-  /** fix-and-pr 模式下结束后是否自动删除已合并/已关闭的 dependfix 分支（非交互） */
-  cleanupBranchesAuto: boolean;
-  githubToken: string;
-  /**
-   * 告警数据源。默认 `github-dependabot`（GitHub Dependabot alerts API）；
-   * `pnpm-audit` 为本地无 token 回退（`pnpm audit --json`），repository 解析
-   * 优先显式 --repo → git remote → `local` 兜底。详见 docs/design/pnpm-audit-fallback.md。
-   */
-  alertSource: AlertSourceKind;
-  /**
-   * 是否同时拉取 Code Scanning alerts（与 Dependabot 并行源，非回退）。
-   * 默认关闭（行为与现状一致）；开启后 GitHub 源下 Dependabot + Code Scanning
-   * 并行拉取、互不覆盖。Code Scanning 告警默认不可自动修复（按规则启用）。
-   * 需要 token 具备 `security-events: read` 权限（GITHUB_TOKEN 默认具备）。
-   */
-  codeScanningEnabled: boolean;
-  /**
-   * 跨线告警（推荐版本跨大版本）显式授权自动升级（`--allow-major-upgrade`）。
-   *
-   * 仅 CLI 参数入口，**刻意不提供 env 通道**（action 结构性禁用：
-   * action.yml 未暴露 input 且无 `DEPENDFIX_ALLOW_MAJOR_UPGRADE` 可绕过）。
-   *
-   * 开启后仅对「根 package.json 直接依赖（workspace 成员独占声明维持人工）
-   * + lockfile 单版本」的跨线告警自动升级，升级后复核脆弱实例消除、
-   * 强制完整验证（install + lint + build），失败自动回滚；
-   * 间接依赖 / 多版本共存跨线告警维持人工处理（skipped + warn）。
-   */
-  allowMajorUpgrade: boolean;
-  /**
-   * Dependabot alerts 专用 token（可选）。
-   * 提供时仅用于拉取 Dependabot alerts（GITHUB_TOKEN 无法读取该 API，
-   * 建议使用最小权限 fine-grained PAT，仅 `Dependabot alerts: read`）；
-   * 缺省时回退使用 githubToken（本地完整 PAT 场景）。
-   * 背景详见 docs/plan/todo.md「已知缺口 G2」。
-   */
-  alertsToken?: string;
-  maxAlertsPerRepository: number;
-  /**
-   * 多仓库并发窗口。默认 1（保守，行为与现状一致）；
-   * >1 时调度器输出警告（GitHub API 限流风险）。
-   */
-  maxConcurrency: number;
-  /**
-   * GitHub API 限流重试次数。默认 3；
-   * 对 429 / primary rate limit / secondary rate limit 指数退避重试，0 关闭。
-   */
-  maxRetries: number;
-  /**
-   * 限流退避单次等待上限毫秒。默认 30000（30s）；
-   * Retry-After / x-ratelimit-reset / 指数退避均受此上限约束。
-   */
-  maxBackoffMs: number;
-  /**
-   * 用户显式分组（最高优先级，覆盖自动分组）。
-   * 键为组名，值为组内包列表。缺省时使用自动分组
-   * （dependabot.yml groups → @types 归并 → scope/前缀启发式）。
-   * 详见 docs/design/dependency-grouping.md。
-   */
-  upgradeGroups?: Record<string, string[]>;
-  /**
-   * lockfile 修复用的 pnpm 版本（工具链固定）。
-   * 提供时 PIN_TOOLCHAIN 策略执行 `corepack pnpm@<version> install --lockfile-only`；
-   * 缺省从 package.json 的 `packageManager` 字段解析；都不可用时回退裸 pnpm 命令
-   * （由策略链 REGENERATE/REINSTALL 兜底）。
-   */
-  toolchainPnpmVersion?: string;
-  /**
-   * AI 研判配置（`--ai` 系列参数 / `DEPENDFIX_AI_*` env）。
-   * 默认关闭（opt-in）；开启后依赖升级验证失败或 major 升级时触发
-   * breaking change 研判（触发范围由 `trigger` 控制）。
-   * `apiKey` 为凭据：仅运行时持有，**不进入 RunReportConfig 序列化**。
-   */
-  ai?: AiOptions;
-}
-/**
- * AI 研判触发范围。
- * - `failure`：仅升级验证失败时触发
- * - `major`：仅 major 升级时触发
- * - `both`（默认）：验证失败 或 major 升级均触发
- */
-type AiTriggerKind = 'failure' | 'major' | 'both';
-interface AiOptions {
-  /** AI 研判总开关（默认 false，opt-in；dry-run 下不触发） */
-  enabled: boolean;
-  /** 提供商：openai-compatible（默认，DeepSeek 等指定 baseUrl）/ anthropic */
-  provider: 'openai-compatible' | 'anthropic';
-  /** 模型名（默认 `deepseek-v4-flash`，2026-08-07 决策，models.dev 确认） */
-  model: string;
-  /**
-   * OpenAI 兼容端点基地址。
-   * 默认 `https://api.deepseek.com`（与默认模型 deepseek-v4-flash 配套；
-   * DeepSeek 官方 OpenAI 兼容端点，models.dev 确认）。
-   * 使用 OpenAI 官方模型时显式指定 `--ai-base-url https://api.openai.com/v1`
-   * 并配合对应 --ai-model。
-   */
-  baseUrl: string;
-  /**
-   * Anthropic 兼容端点（仅 provider=anthropic 生效；
-   * 默认 `https://api.anthropic.com/v1/messages`；自托管/网关可显式指定）。
-   */
-  apiUrl?: string;
-  /** AI API Key（凭据：仅运行时，不进报告/日志） */
-  apiKey?: string;
-  /** 触发范围（默认 both） */
-  trigger: AiTriggerKind;
-}
-interface CliConfigOverrides {
-  mode?: RuntimeMode;
-  severityThreshold?: SeverityThreshold;
-  repositories?: string[];
-  reposFilePath?: string;
-  /** owner / org 列表（自动发现仓库，与显式列表合并去重） */
-  owner?: string[];
-  /** 发现结果 topic 白名单（AND 语义） */
-  repoTopics?: string[];
-  /** 仓库白名单 glob（仅作用于发现结果） */
-  repoInclude?: string[];
-  /** 仓库黑名单 glob（显式列表与发现结果均受约束） */
-  repoExclude?: string[];
-  /** 发现结果 topic 黑名单（排除含任一指定 topic 的仓库） */
-  repoTopicsExclude?: string[];
-  dryRun?: boolean;
-  createPullRequest?: boolean;
-  /** 修复完成后是否在本地当前分支直接提交 */
-  commit?: boolean;
-  /** fix-and-pr 模式下结束后是否列出已合并的 dependfix 分支到报告 */
-  cleanupBranches?: boolean;
-  /** fix-and-pr 模式下结束后是否自动删除已合并/已关闭的 dependfix 分支（非交互） */
-  cleanupBranchesAuto?: boolean;
-  githubToken?: string;
-  /** 告警数据源（`github-dependabot` / `pnpm-audit`） */
-  alertSource?: AlertSourceKind;
-  /** 是否同时拉取 Code Scanning alerts（默认 false） */
-  codeScanningEnabled?: boolean;
-  /**
-   * 跨线告警显式授权自动升级（仅 CLI `--allow-major-upgrade` 入口，
-   * 无 env 通道；Action 不支持）。详见 RuntimeConfig.allowMajorUpgrade。
-   */
-  allowMajorUpgrade?: boolean;
-  /** Dependabot alerts 专用 token（可选，最小权限；缺省回退 githubToken） */
-  alertsToken?: string;
-  maxAlertsPerRepository?: number;
-  /** 多仓库并发窗口（1-16，默认 1 保守） */
-  maxConcurrency?: number;
-  /** GitHub API 限流重试次数（0-10，默认 3） */
-  maxRetries?: number;
-  /** 限流退避单次等待上限毫秒（100-120000，默认 30000） */
-  maxBackoffMs?: number;
-  /** 用户显式分组（覆盖自动分组），格式 `name1:pkg1,pkg2;name2:pkg3` */
-  upgradeGroups?: Record<string, string[]>;
-  /** lockfile 修复用的 pnpm 版本（工具链固定；缺省从 packageManager 解析） */
-  toolchainPnpmVersion?: string;
-  /** AI 研判总开关（`--ai`） */
-  aiEnabled?: boolean;
-  /** AI 提供商（`--ai-provider`：openai-compatible / anthropic） */
-  aiProvider?: 'openai-compatible' | 'anthropic';
-  /** AI 模型（`--ai-model`，默认 deepseek-v4-flash） */
-  aiModel?: string;
-  /** AI 端点（`--ai-base-url`，OpenAI 兼容） */
-  aiBaseUrl?: string;
-  /** AI Anthropic 兼容端点（`--ai-api-url`，仅 provider=anthropic 生效） */
-  aiApiUrl?: string;
-  /** AI API Key（`--ai-api-key`；优先 DEPENDFIX_AI_API_KEY env） */
-  aiApiKey?: string;
-  /** AI 触发范围（`--ai-trigger`：failure / major / both） */
-  aiTrigger?: AiTriggerKind;
-  /** 是否输出详细日志 */
-  verbose?: boolean;
-  /** 自定义验证命令（覆盖默认的 `pnpm install --frozen-lockfile` / `pnpm lint` / `pnpm build`） */
-  commands?: string[];
-  /**
-   * 历史查询（仅 CLI `--history`）：读取归档索引列出仓库历史运行摘要，
-   * 不进入运行配置（resolveRuntimeConfig 不消费），由 CLI 层直接处理。
-   */
-  history?: string;
-}
-interface ResolveRuntimeConfigOptions {
-  env?: NodeJS.ProcessEnv;
-  cliOverrides?: CliConfigOverrides;
-  /** 工作目录，用于从 git remote 推断仓库名（默认 `process.cwd()`） */
-  workDir?: string;
-}
-declare const DEFAULT_RUNTIME_CONFIG: Omit<RuntimeConfig, 'githubToken' | 'repositories' | 'dryRun' | 'createPullRequest' | 'commit' | 'cleanupBranches' | 'cleanupBranchesAuto'>;
-declare function readEnvConfig(env?: NodeJS.ProcessEnv): CliConfigOverrides;
-declare function resolveRuntimeConfig(options?: ResolveRuntimeConfigOptions): RuntimeConfig;
-/**
- * 从 git remote origin 推断 owner/repo。
- *
- * 支持格式：
- * - `https://github.com/owner/repo.git`
- * - `git@github.com:owner/repo.git`
- * - `ssh://git@github.com/owner/repo.git`
- *
- * @returns `owner/repo` 或 `null`（非 GitHub / 无 origin）
- */
-declare function inferRepoFromGitRemote(workDir: string): string | null;
-//#endregion
+export * from "@dependfix/engine";
 //#region src/cli/index.d.ts
 interface CliInvocation {
   mode?: RuntimeMode;
@@ -583,842 +334,6 @@ declare const dependfixCommand: import("citty").CommandDef<{
 }>;
 declare function runDependfixMain(rawArgs?: string[]): Promise<void>;
 //#endregion
-//#region src/app/index.d.ts
-interface DependfixAppOptions {
-  /** 已解析的运行时配置 */
-  config: RuntimeConfig;
-  /** 工作目录（默认 `process.cwd()`） */
-  workDir?: string;
-  /** 报告输出目录（默认 `./dependfix-reports`；测试可指向临时目录） */
-  reportOutputDir?: string;
-  /** 是否输出详细日志 */
-  verbose?: boolean;
-  /** 自定义验证命令（覆盖默认命令链） */
-  commands?: string[];
-}
-interface DependfixRunResult {
-  /** 结构化运行结果（用于报告生成） */
-  result: RunResult;
-  /** 进程退出码：0=全部成功, 1=部分失败, 2=全部失败 */
-  exitCode: number;
-}
-declare class DependfixApp {
-  private readonly config;
-  private readonly workDir;
-  private readonly reportOutputDir;
-  private readonly logger;
-  private readonly verbose;
-  private readonly customCommands?;
-  private readonly runId;
-  private readonly allAlerts;
-  private readonly allActions;
-  private readonly allErrors;
-  private readonly repoResults;
-  private readonly summary;
-  /** run 级 AI 用量聚合（--ai 实际调用时填充；报告 aiUsage 段数据源） */
-  private aiUsageAggregate;
-  private startedAt;
-  private finishedAt;
-  /** 运行前工作区是否已有未提交改动（验证门禁回滚保护：避免销毁用户本地工作） */
-  private preExistingDirty;
-  constructor(options: DependfixAppOptions);
-  /** 供辅助方法使用的状态切片。 */
-  private get ctx();
-  /** 执行完整的编排流程，返回结构化结果和退出码。 */
-  run(): Promise<DependfixRunResult>;
-  private executeMode;
-  private executeReportMode;
-  private processRepoForReport;
-  private executeFixMode;
-  private processRepoForFix;
-  /**
-   * 修复 → 计算内容指纹 → 查重 →（同指纹跳过 / 异指纹关旧开新）。
-   *
-   * 去重语义：
-   * - 同告警集 → 同修复结果 → 同指纹 → 跳过，不重复提交相同 PR
-   * - 内容变化 → 先创建新 PR（body 注明 Supersedes），成功后关闭旧 PR；
-   *   新 PR 创建失败时保留旧 PR，避免出现"无 PR 窗口"
-   */
-  private executeFixAndPrMode;
-  /**
-   * 清理已合并（或已关闭）的 dependfix 分支。
-   *
-   * - 分类：已合并（安全清理）/ 已关闭未合并（supersede 孤儿）/ open（跳过）
-   * - 删除前必须交互式确认（y/N）；非 TTY 环境（CI）默认拒绝
-   * - 只删 `dependfix/` 前缀分支，绝不触碰 open PR 对应分支
-   * - dry-run 模式仅列清单并打印 "would delete"，不执行删除
-   */
-  private executeCleanupBranchesMode;
-  /**
-   * 多仓库并发执行管线。
-   *
-   * - 并发窗口 = config.maxConcurrency（默认 1 保守串行，行为与现状一致）
-   * - `>1` 时输出警告（并行 GitHub API 调用可能触发限流）
-   * - 失败隔离由 task 内部 try-catch 承担（每仓库独立 repoResults 记录），
-   *   scheduler 提供 onError 兜底，单仓库异常不中断整体
-   * - 空清单：记录 EMPTY_REPO_LIST 错误（非 0 退出），避免静默空跑（同构缺陷）
-   */
-  private runRepoPipeline;
-  /**
-   * 解析本次运行要处理的仓库清单（owner 自动发现 + 显式列表合并）。
-   *
-   * - 配置了 `--owner` 且 client 可用：自动发现 → 与显式 `repositories` 合并去重
-   *   （显式优先：显式列表保持原顺序在前，发现结果按仓库名排序仅补充未出现项）
-   * - 发现失败（token 权限、网络等全局性问题）：记录 DISCOVERY_FAILED 错误，
-   *   回退处理显式列表（显式优先语义，不静默丢弃显式仓库）
-   * - 未配置 `--owner`：沿用现有 resolveAlertRepositories 语义
-   */
-  private resolveRepositories;
-  /**
-   * 告警数据源统一入口：
-   * - `github-dependabot`：Octokit 拉取 Dependabot alerts（alertsToken 优先）；
-   *   `codeScanningEnabled` 时**并行**拉取 Code Scanning alerts（互不覆盖、互不回退）
-   * - `pnpm-audit`：本地 `pnpm audit --json` 回退（无 token；repository 已由 resolveAlertRepositories 解析）
-   *
-   * per-source 错误隔离：并行源任一失败 → 记录该源 FETCH_FAILED 错误
-   * （退出码保持非 0）并保留成功源数据继续处理；**全部源失败**才抛错
-   * （调用方 catch 记录仓库失败，保持 hint 语义）。
-   */
-  private fetchAlerts;
-  /** 记录单个告警源的拉取失败（不中断另一源的处理）。 */
-  private recordAlertSourceError;
-  /** pnpm-audit 模式不创建 GitHub client（无 token）；github-dependabot 模式返回主 token client。 */
-  private githubClientOrNull;
-  private createClient;
-  /**
-   * 拉取 Dependabot alerts 使用的 client（双 token 设计）：
-   * 优先使用 `alertsToken`（最小权限：仅 Dependabot alerts: read），
-   * 缺省回退主 token（本地完整 PAT 场景）。
-   * 背景详见 docs/plan/todo.md「已知缺口 G2」。
-   */
-  private createAlertsClient;
-  /**
-   * 获取仓库的默认分支。
-   * pnpm-audit 模式 client 为 null → 返回 ''（报告显示 local）。
-   * 失败时返回 `'unknown'`（不阻塞主流程）。
-   */
-  private fetchDefaultBranch;
-}
-//#endregion
-//#region src/fixers/dependency/index.d.ts
-interface UpgradeDependencyParams {
-  /** 包名（如 `'lodash'`, `'@babel/traverse'`） */
-  packageName: string;
-  /** 目标精确版本（如 `'4.17.21'`） */
-  targetVersion: string;
-  /** 工作目录（workspace 根，包含 `package.json` 和 `pnpm-lock.yaml`） */
-  workDir: string;
-  /**
-   * 可选：目标 manifest 所在成员目录（相对 workDir，如 `'packages/web'`）。
-   * 缺省 = 根 `package.json`（现状行为）。
-   * 指定时：修改成员 manifest 的依赖声明，`pnpm install` 仍在根 `workDir`
-   * 执行（workspace 解析语义），失败回滚成员 manifest + `pnpm-lock.yaml`。
-   */
-  manifestDir?: string;
-}
-interface DependencyFixResult {
-  packageName: string;
-  /** 升级前版本声明（保留原始 range 格式，如 `^4.17.20`） */
-  fromVersion: string;
-  /** 升级后版本声明（保留原始前缀，如 `^4.17.21`） */
-  toVersion: string;
-  /** 是否为 major 版本升级 */
-  isMajor: boolean;
-  /** 升级是否成功 */
-  success: boolean;
-  /** 失败原因（仅 `success=false` 时有值） */
-  error?: string;
-  /** 成功但存在需要用户注意的附加信息（如 overrides 写入位置可能被 pnpm 忽略） */
-  warning?: string;
-}
-interface PackageJson {
-  name?: string;
-  dependencies?: Record<string, string>;
-  devDependencies?: Record<string, string>;
-  optionalDependencies?: Record<string, string>;
-  peerDependencies?: Record<string, string>;
-  pnpm?: {
-    overrides?: Record<string, string>;
-    [key: string]: unknown;
-  };
-  [key: string]: unknown;
-}
-interface DependencyInfo {
-  group: 'dependencies' | 'devDependencies' | 'optionalDependencies';
-  version: string;
-}
-/**
- * 升级单个依赖到指定版本。
- *
- * - 在目标 manifest（根 `package.json`，或 `params.manifestDir` 指定的成员 manifest）
- *   中修改目标包的版本声明（保留原始前缀）
- * - 执行 `pnpm install --no-frozen-lockfile` 更新 lockfile（始终在根 `workDir` 执行，
- *   workspace 解析语义——成员声明变更会触发全 workspace 重新解析）
- * - 失败时自动回滚目标 manifest 和 `pnpm-lock.yaml`
- * - 声明为包管理器协议（`workspace:` / `catalog:` / `link:` 等）时明确失败，
- *   不做不可逆的声明改写
- * - 不执行验证（由验证执行器负责）
- *
- * @param params - 包名、目标版本、工作目录、可选成员目录
- * @returns 修复结果
- */
-declare function upgradeDependency(params: UpgradeDependencyParams): Promise<DependencyFixResult>;
-/**
- * 通过 pnpm `overrides` 升级间接（transitive）依赖。
- *
- * 间接依赖不在 `package.json` 的 `dependencies` / `devDependencies` 中列出，
- * 因此无法通过常规 `upgradeDependency` 处理。本函数根据项目类型选择覆盖写入位置：
- *
- * - **有 `pnpm-workspace.yaml`**（monorepo / workspace）→ 写入其中的 `overrides` 字段（pnpm v10+ 推荐）
- * - **无 `pnpm-workspace.yaml`**（单包项目）→ 写入 `package.json` 的 `pnpm.overrides`
- *
- * 失败时自动回滚被修改的文件和 `pnpm-lock.yaml`。不执行验证（由验证执行器负责）。
- *
- * @param params - 包名、目标版本、工作目录
- * @returns 修复结果
- */
-declare function overrideTransitiveDependency(params: UpgradeDependencyParams): Promise<DependencyFixResult>;
-/**
- * 通过 pnpm `overrides` **批量**写入版本化覆盖并执行 install（多版本共存场景）。
- *
- * 场景：lockfile 中同一包共存多个版本实例（如 vite@5.4.14 与 vite@8.2.0），
- * 单一 `pkg: version` 全局覆盖会波及所有实例（可能误降级根声明），
- * 因此按版本实例分别写 `pkg@version: ^target`（pnpm 版本化 override 惯例，
- * 参考用户提供的 path-to-regexp / picomatch 多版本分别覆盖示例）。
- *
- * 写入位置与 `overrideTransitiveDependency` 一致：
- * - 存在 `pnpm-workspace.yaml` → 写入其中 `overrides`
- * - 否则 → 写入 `package.json` 的 `pnpm.overrides`
- *
- * 失败时自动回滚被修改的文件和 `pnpm-lock.yaml`。不执行验证（由上层负责）。
- *
- * @param params - 包名、版本化 overrides 映射（`pkg@version` → `^target`）、工作目录
- * @returns 修复结果（fromVersion 为空字符串，表示多实例无单一来源版本）
- */
-declare function applyVersionedOverrides(params: {
-  packageName: string;
-  versionedOverrides: Record<string, string>;
-  workDir: string;
-}): Promise<DependencyFixResult>;
-/**
- * 从版本声明中提取前缀（^ / ~ / 空）。
- *
- * @example
- * extractPrefix('^4.17.20')  // '^'
- * extractPrefix('~4.17.0')   // '~'
- * extractPrefix('4.17.20')   // ''
- * extractPrefix('*')         // '^'  (默认)
- */
-declare function extractPrefix(version: string): string;
-/**
- * 检测版本声明是否包含包管理器协议前缀
- * （`workspace:` / `catalog:` / `link:` / `file:` / `npm:` / `github:` /
- * `gitlab:` / `bitbucket:` / `gist:` / `git:` / `git+ssh:` / `git+https:` /
- * `git+http:` / `git+file:` / `https:` / `ssh:` 等）。
- *
- * 这类声明不是 semver range，`extractPrefix` 会将其误归为 `^` 导致声明被
- * 不可逆改写（如 `catalog:` → `^x.y.z`、`git+ssh:` 来源从 fork/私有源静默
- * 切回 registry），升级前必须拒绝。
- *
- * @example
- * isNonSemverDeclaration('^4.17.20')      // false
- * isNonSemverDeclaration('workspace:*')   // true
- * isNonSemverDeclaration('catalog:')      // true
- * isNonSemverDeclaration('link:../pkg')   // true
- * isNonSemverDeclaration('git+ssh://...') // true
- * isNonSemverDeclaration('gitlab:...')    // true
- * isNonSemverDeclaration('https://...tgz') // true
- */
-declare function isNonSemverDeclaration(version: string): boolean;
-/**
- * 从版本声明中提取主版本号（major）。
- * 去除前缀后匹配第一个 semver 段。
- *
- * @example
- * parseMajorVersion('^4.17.20')   // 4
- * parseMajorVersion('~2.0.0')     // 2
- * parseMajorVersion('1.2.3')      // 1
- * parseMajorVersion('*')          // -1
- */
-declare function parseMajorVersion(version: string): number;
-/**
- * 比较两个语义化版本（`x.y.z`，可选 pre-release 后缀）。
- *
- * - `a > b` 返回正数，`a < b` 返回负数，相等返回 0
- * - 非 semver 字符串按 0 处理（保守：不参与大小比较）
- * - 仅比较主/次/补丁段，pre-release 后缀忽略（如 `1.0.0-beta` 视为 `1.0.0`）
- *
- * @example
- * compareSemver('4.18.0', '4.17.21')  // 1
- * compareSemver('5.4.20', '6.4.3')    // -1
- * compareSemver('1.2.3', '1.2.3')     // 0
- */
-declare function compareSemver(a: string, b: string): number;
-/**
- * 在 `package.json` 的 `dependencies` / `devDependencies` / `optionalDependencies` 中按顺序查找包。
- */
-declare function findDependencyVersion(pkg: PackageJson, packageName: string): DependencyInfo | null;
-/**
- * 确保 `package.json` 中存在 `pnpm.overrides` 对象，若不存在则创建。
- * 返回 `overrides` 对象的引用，调用方可直接写入。
- */
-declare function ensurePnpmOverrides(pkg: PackageJson): Record<string, string>;
-/**
- * 从 `pnpm-lock.yaml` 中读取指定包的**所有**锁定版本实例。
- *
- * 支持两种 lockfile 键格式：
- * 1. v9 早期格式（lockfileVersion 9.0 起）：`/package-name/version:`
- * 2. pnpm v10+/v11 snapshot 格式：`package-name@version:` 或
- *    `package-name@version(peer@x)(peer2@y):`（peer 后缀条目）
- *
- * 同一包在 lockfile 中可能共存多个版本（如 vite@5.4.14 与 vite@8.2.0），
- * 多版本共存是「版本化 overrides（pkg@version: ^target）」修复策略的前提。
- *
- * @returns 去重后的版本列表（如 `['5.4.14', '8.2.0']`），未找到返回 `[]`
- */
-declare function readLockfileVersions(lockfilePath: string, packageName: string): string[];
-/**
- * 从 `pnpm-lock.yaml` 中读取指定包的当前锁定版本。
- *
- * 多版本并存时（如同一包同时被根与子目录 manifest 引用），取**最高版本**
- * （保守：不降级保护依赖此语义，如根 vite@8.2.0 与 docs vite@5.4.14 并存）。
- *
- * @returns 锁定版本字符串（如 `'5.0.0'`），未找到返回 `null`
- */
-declare function readLockfileVersion(lockfilePath: string, packageName: string): string | null;
-/**
- * 探测当前 pnpm 大版本（pnpm v10+ 对无 `pnpm-workspace.yaml` 的项目
- * 可能不读取 `package.json#pnpm.overrides`，写入会"假成功"）。
- * 探测失败（pnpm 不可用 / 输出异常）返回 null，调用方降级为不告警。
- */
-declare function detectPnpmMajor(workDir: string): number | null;
-/**
- * 跨线修复判定（2026-08-06 复盘 PR #28）。
- *
- * lockfile 告警的推荐版本 major 不在 lockfile 实例 majors 中 → 本仓库没有该
- * 大版本线的实例，且当前线（如 5.x）没有该告警的修复版本（如 GHSA-fx2h
- * 影响 `<= 6.4.2`、first_patched 6.4.3）——只能**跨大版本升级**才能修复。
- *
- * 保持不跨大版本自动升级：此类告警不进入修复链路（不标 fixed/converged），
- * 由上层计入 skipped 并提示用户手动检查/升级/批准。
- *
- * lockfile 中无该包实例（versions 为空）时返回 false——"无实例"场景由
- * partitionSubmanifestAlerts 的常规跳过逻辑处理，避免重复计数。
- */
-declare function isCrossMajorFixRequired(lockfilePath: string, alert: NormalizedSecurityAlert): boolean;
-//#endregion
-//#region src/fixers/pnpm/index.d.ts
-type LockfileFailureCategory = 'LOCKFILE_NOT_FOUND' | 'MANIFEST_MISMATCH' | 'LOCKFILE_VERSION_MISMATCH' | 'CORRUPTED_LOCKFILE' | 'CREDENTIAL_ERROR' | 'RESOLVE_ERROR' | 'UNKNOWN';
-type RepairStrategy = 'REGENERATE' | 'FIX_ENTRIES' | 'PIN_TOOLCHAIN' | 'REINSTALL' | 'SKIP';
-interface RepairLockfileParams {
-  /** 工作目录（必须包含 package.json 和 pnpm-lock.yaml） */
-  workDir: string;
-  /** 可选：期望的 pnpm 版本（优先于 packageManager 字段） */
-  toolchain?: {
-    pnpmVersion?: string;
-  };
-}
-interface LockfileDiff {
-  /** lockfile 行数变化（正=增加） */
-  linesChanged: number;
-  /** packages 条数变化（正=增加） */
-  packagesChanged: number;
-  /** 简要文字摘要 */
-  summary: string;
-}
-interface RepairAttempt {
-  strategy: RepairStrategy;
-  command: string;
-  success: boolean;
-  error?: string;
-  durationMs: number;
-}
-interface LockfileRepairResult {
-  success: boolean;
-  failureCategory?: LockfileFailureCategory;
-  failureDetail?: string;
-  strategy?: RepairStrategy;
-  diff?: LockfileDiff | null;
-  attemptHistory: RepairAttempt[];
-  /** 修复后 lockfile 的 lockfileVersion（提取自 pnpm-lock.yaml） */
-  lockfileVersion?: string;
-  /** 修复前后 lockfileVersion 是否变化（格式漂移检测，wisdom: pnpm v11 overrides 迁移教训） */
-  lockfileVersionChanged?: boolean;
-}
-interface ClassificationResult {
-  ok: boolean;
-  category?: LockfileFailureCategory;
-  stderr?: string;
-}
-/**
- * 执行 `pnpm i --frozen-lockfile` 并解析失败分类。
- * 成功时返回 { ok: true }。
- */
-declare function classifyLockfileFailure(workDir: string): ClassificationResult;
-/** 从 lockfile 内容提取 `lockfileVersion` 字段值（如 `9.0`）；缺失返回 null。 */
-declare function extractLockfileVersion(content: string): string | null;
-/**
- * 比较修复前后 lockfile，返回行数与包数量变化摘要。
- */
-declare function computeLockfileDiff(beforePath: string, afterPath: string): LockfileDiff;
-/** 校验 pnpm 版本格式是否合法（非法返回 false，调用方回退裸命令/报错）。 */
-declare function isValidPnpmVersion(version: string | undefined | null): version is string;
-/**
- * 从 package.json 的 `packageManager` 字段解析 pnpm 版本。
- * 优先级: toolchain.pnpmVersion > packageManager > null
- * 非法 toolchain 版本 → 回退 packageManager；两者都非法/缺失 → null（裸命令兜底）。
- */
-declare function resolvePnpmVersion(workDir: string, toolchain?: {
-  pnpmVersion?: string;
-}): string | null;
-/**
- * 检测并修复 pnpm frozen-lockfile 漂移。
- *
- * 流程：
- * 1. 先跑 `pnpm i --frozen-lockfile` 诊断
- * 2. 若已合规 → 直接返回 success
- * 3. 若为 CREDENTIAL_ERROR → SKIP
- * 4. 按分类选取策略链，逐级尝试修复：
- *    - 每个策略执行后立即用 `pnpm i --frozen-lockfile` 验证
- *    - 验证通过 → 记录 diff、返回 success
- *    - 验证失败 → 继续下一个策略
- * 5. 所有策略失败 → 回滚 lockfile、返回失败结果
- */
-declare function repairLockfile(params: RepairLockfileParams): LockfileRepairResult;
-//#endregion
-//#region src/github/client.d.ts
-interface RetryPolicyOptions {
-  /** 最大重试次数（默认 3；0 = 不重试） */
-  maxRetries?: number;
-  /** 指数退避基数毫秒（默认 1000；测试时可调小） */
-  baseDelayMs?: number;
-  /**
-   * 指数退避单次等待上限毫秒（默认 30000），防止长时间空转。
-   * Retry-After / x-ratelimit-reset 指定的等待同样受此上限约束。
-   */
-  maxBackoffMs?: number;
-}
-interface OctokitClientOptions {
-  /** GitHub Personal Access Token */
-  token: string;
-  /**
-   * API 基地址。
-   * 默认 `https://api.github.com`。
-   * 测试时指向 nock 拦截的同一地址。
-   */
-  baseUrl?: string;
-  /**
-   * API 限流 / 次要限流（secondary rate limit）指数退避重试策略。
-   * 默认 maxRetries=3。对 429、primary rate limit（403 + x-ratelimit-remaining: 0）、
-   * secondary rate limit（403/429 带 secondary/abuse/retry 特征）自动退避重试；
-   * 权限类 403 不重试。
-   */
-  retry?: RetryPolicyOptions;
-}
-/**
- * 创建已认证的 Octokit 实例。
- *
- * 调用方直接使用 `octokit.rest.*` 访问所有已类型化的 GitHub REST API。
- * 分页使用 `octokit.paginate()` 自动合并多页结果。
- *
- * 配置 `retry` 时通过 `hook.wrap('request')` 统一包装所有请求
- * （含 paginate 内部请求），对限流响应做指数退避重试。
- *
- * @example
- * ```typescript
- * const octokit = createGitHubClient({ token: 'ghp_xxxx' })
- *
- * // 仓库信息
- * const { data: repo } = await octokit.rest.repos.get({ owner: 'foo', repo: 'bar' })
- *
- * // Dependabot 告警（自动分页）
- * const alerts = await octokit.paginate(
- *     octokit.rest.dependabot.listAlertsForRepo,
- *     { owner: 'foo', repo: 'bar', state: 'open', per_page: 100 },
- * )
- * ```
- */
-declare function createGitHubClient(options: OctokitClientOptions): Octokit;
-/**
- * 计算限流重试等待时间（纯函数，可单测）。
- *
- * 可重试（返回等待毫秒）：
- * - 429（Too Many Requests / secondary rate limit）
- * - 403 + `x-ratelimit-remaining: 0`（primary rate limit）
- * - 403/429 + message 含 secondary rate limit / abuse / retry 特征
- *
- * 等待策略（Retry-After 优先）：
- * 1. `retry-after` 头（秒）→ 等待其秒数（受 maxBackoffMs 上限约束）
- * 2. `x-ratelimit-reset`（unix 秒）→ 等待到 reset + 1s 缓冲
- * 3. 否则 → 指数退避 `baseDelayMs * 2^attempt`
- * 所有等待均受 maxBackoffMs 上限约束（默认 30s）。
- *
- * 不重试（返回 null）：
- * - 非 RequestError（网络错误等由上层 AppError 语义处理）
- * - 权限类 403（无限流特征）
- * - 其他状态码
- */
-declare function computeRetryDelayMs(error: unknown, attempt: number, baseDelayMs?: number, maxBackoffMs?: number): number | null;
-//#endregion
-//#region src/github/dependabot-fetcher.d.ts
-interface FetchDependabotAlertsParams {
-  /** 仓库所属组织或用户 */
-  owner: string;
-  /** 仓库名称 */
-  repo: string;
-  /**
-   * 告警状态过滤。
-   * 只拉 `open`（默认）。
-   */
-  state?: 'open' | 'fixed' | 'dismissed' | 'auto_dismissed';
-  /** 每页数量，默认 100（GitHub API 最大值） */
-  perPage?: number;
-}
-/**
- * 拉取指定仓库的 Dependabot 告警并映射为标准化模型。
- *
- * - 自动分页（`octokit.paginate()`），返回所有匹配的告警
- * - 仅处理 `state=open` 的告警（可通过 `params.state` 覆盖）
- * - 异常通过 `mapGitHubError` 转为 `AppError`
- * - 空仓库返回 `[]`，不抛异常
- *
- * @param client - 已认证的 Octokit 实例（来自 `createGitHubClient`）
- * @param params - 仓库标识与过滤参数
- * @returns 标准化告警列表
- *
- * @example
- * ```typescript
- * const octokit = createGitHubClient({ token: 'ghp_xxxx' })
- * const alerts = await fetchDependabotAlerts(octokit, { owner: 'foo', repo: 'bar' })
- * ```
- */
-declare function fetchDependabotAlerts(client: Octokit, params: FetchDependabotAlertsParams): Promise<NormalizedSecurityAlert[]>;
-//#endregion
-//#region src/github/errors.d.ts
-/**
- * 将 Octokit 请求错误映射为 `AppError`。
- *
- * @param error   - 原始错误（`RequestError` 或网络异常）
- * @param context - 调用上下文描述（如 `'fetch repo info for foo/bar'`），会附加到错误消息中
- */
-declare function mapGitHubError(error: unknown, context: string): AppError;
-//#endregion
-//#region src/github/pr-creator.d.ts
-interface CreatePullRequestParams {
-  /** 已认证的 Octokit 实例 */
-  octokit: Octokit;
-  /** 仓库 owner */
-  owner: string;
-  /** 仓库名 */
-  repo: string;
-  /** 修复分支名 */
-  headBranch: string;
-  /** 目标分支（默认 master/main，从 API 获取） */
-  baseBranch: string;
-  /** PR 标题 */
-  title: string;
-  /** PR 内容（Markdown） */
-  body: string;
-}
-interface PullRequestResult {
-  /** PR 编号 */
-  number: number;
-  /** PR HTML URL */
-  htmlUrl: string;
-}
-interface FixBranchResult {
-  /** 分支名 */
-  branchName: string;
-  /** 是否为新创建 */
-  created: boolean;
-}
-/** dependfix 自动修复 PR 的公开信息（用于查重/取代判定） */
-interface DependfixOpenPR {
-  /** PR 编号 */
-  number: number;
-  /** PR HTML URL */
-  htmlUrl: string;
-  /** PR head 分支名 */
-  headRef: string;
-}
-/**
- * 计算修复内容指纹（sha256 前 8 位）。
- *
- * 指纹基于**结构化修复结果**而非 git diff：
- * - 成功升级集：`pkg@toVersion@manifest`（排序拼接；manifest 区分根升级与
- *   成员升级——成员级修复后，同包根/成员升级是不同修复内容，
- *   若指纹不含 manifest 维度，根升级 PR 会错误 skip 后续成员升级）
- * - 修复失败集：失败包名@manifest（排序拼接）
- * - lockfile 修复状态（成功/失败）
- *
- * 同告警集 → 同修复结果 → 同指纹 → 幂等跳过；
- * 内容变化（升级集/失败集/锁文件修复变化）→ 指纹变化 → 关旧开新。
- * 不用 diff hash 是因为 pnpm 版本等非确定性因素会使锁文件内容漂移，
- * 导致"告警没变但指纹变"。
- */
-declare function computeFixFingerprint(actions: FixAction[]): string;
-/**
- * 从分支名提取内容指纹（`dependfix/auto-fix-{fp8}` → `{fp8}`）。
- * 指纹格式为 8 位 hex；分支名不含 `-` 后的内容、前缀不匹配或格式不合法时返回 null
- * （如旧版 runId 分支，会被 supersede）。
- */
-declare function extractFingerprintFromBranch(branchName: string): string | null;
-/** fix-and-pr 去重决策结果 */
-interface FixAndPrPlan {
-  /** skip = 已有同内容 PR，不重复提交；create = 需要新建 PR */
-  action: 'skip' | 'create';
-  /** action=skip 时命中的同内容 PR */
-  sameContentPR?: DependfixOpenPR;
-  /** 内容不同、需要关闭（supersede）的旧 PR 列表 */
-  supersedePRs: DependfixOpenPR[];
-}
-/**
- * 计算 fix-and-pr 去重决策：
- * - 存在同指纹 open PR → skip（仅需关闭其余异指纹 PR）
- * - 否则 → create（关闭全部旧 PR，先建新后关旧由调用方保证）
- */
-declare function computeFixAndPrPlan(existingPRs: DependfixOpenPR[], fingerprint: string): FixAndPrPlan;
-/**
- * 在工作目录创建修复分支。
- *
- * - 分支名由调用方传入（分支名为 `dependfix/auto-fix-{内容指纹}`，不再依赖 runId）
- * - 如果分支已存在（如重跑），切换到该分支
- *
- * @returns 分支名和是否为新创建
- */
-declare function createFixBranch(branchName: string, workDir: string): FixBranchResult;
-/**
- * 暂存所有变更并提交。
- * 自动设置 git user.name / user.email（如未设置）。
- * 使用 `execFileSync` 参数数组形式（不经 shell），保证多行 commit message
- * 与 UTF-8 字符（如 →）在 Windows/Linux 双平台传递一致。
- */
-declare function stageAndCommit(message: string, workDir: string): void;
-/**
- * 推送分支到远程 origin。
- */
-declare function pushBranch(branchName: string, workDir: string): void;
-/**
- * 查找目标仓库中所有 open 状态的 dependfix 自动修复 PR。
- *
- * GitHub 的 `pulls.list` 的 `head` 参数不支持通配符，因此拉取 open PR 列表后
- * 按 head 分支前缀 `dependfix/auto-fix-` 过滤。假设 PR 数量不多（单页 100 足够），
- * 未来 PR 数量增大时可引入 label 索引（backlog 已登记演进项）。
- */
-declare function findDependfixOpenPR(octokit: Octokit, owner: string, repo: string): Promise<DependfixOpenPR[]>;
-/**
- * 关闭 Pull Request（用于 supersede 旧 PR）。
- */
-declare function closePullRequest(octokit: Octokit, owner: string, repo: string, pullNumber: number): Promise<void>;
-/**
- * 通过 GitHub API 创建 Pull Request。
- */
-declare function createPullRequest(params: CreatePullRequestParams): Promise<PullRequestResult>;
-/** 分支清理状态（用于 cleanup-branches 清单分类） */
-interface DependfixBranchStatus {
-  /** 分支名 */
-  branch: string;
-  /** 关联 PR 编号（无 PR 记录时为 null） */
-  prNumber: number | null;
-  /** PR 是否已合并 */
-  merged: boolean;
-  /** PR 是否已关闭（含合并） */
-  closed: boolean;
-}
-/**
- * 列出远端所有 `dependfix/` 前缀分支（git.listMatchingRefs 精确前缀匹配）。
- */
-declare function listDependfixBranches(octokit: Octokit, owner: string, repo: string): Promise<string[]>;
-/**
- * 查询分支对应的最近 PR 状态（pulls.list head 精确匹配，按最近更新取 1 条）。
- */
-declare function getBranchPrStatus(octokit: Octokit, owner: string, repo: string, branch: string): Promise<DependfixBranchStatus>;
-/**
- * 删除远端分支（git ref delete）。失败（分支保护、不存在）由调用方捕获处理。
- */
-declare function deleteRemoteBranch(octokit: Octokit, owner: string, repo: string, branch: string): Promise<void>;
-/**
- * 判定交互确认回答是否为"是"（y/yes，大小写不敏感；空输入默认拒绝）。
- */
-declare function isConfirmAnswer(answer: string): boolean;
-/**
- * 从 RunResult 生成 PR body（Markdown）。
- *
- * 升级/失败列表按 (仓库, 包名) 聚合：同一包多次出现合并为一行
- * （from 取最早起点、to 取最新终点），避免一个包出现多次。
- *
- * body 超出 GitHub 64KB 上限时从**尾部**逐行截断（保留头部摘要与升级明细，
- * 明细表在尾部被截断），并附加截断说明——避免大仓库 PR 创建 422。
- *
- * @param supersededNumbers 被本 PR 取代并已关闭的旧 PR 编号列表（用于 Supersedes 声明）
- */
-declare function generatePRBody(result: RunResult, supersededNumbers?: number[]): string;
-//#endregion
-//#region src/github/repo-policy.d.ts
-/** 单条 glob 模式长度上限（加固：防止超长模式引入匹配开销；受信配置 + 短输入） */
-declare const MAX_GLOB_PATTERN_LENGTH = 200;
-/**
- * 将仓库 glob 模式转正则（`owner/*`、`owner/pkg-*`）。
- *
- * 支持通配：
- * - `*` → 任意非 `/` 字符序列（不跨仓库分隔符）
- * - `?` → 单个非 `/` 字符
- * - 其余字符按字面量（正则元字符转义）
- *
- * 匹配对象为完整 `owner/repo` 字符串（大小写敏感，与 GitHub full_name 一致）。
- * 模式仅限受信配置输入（CLI/env），长度超过 {@link MAX_GLOB_PATTERN_LENGTH} 时拒绝。
- * 多通配符模式存在理论 O(n^k) 回溯面（`[^/]*` 单层字符类、输入 ≤ ~140 字符，风险低）；
- * 正则引擎演进时需专项 ReDoS 审计。
- */
-declare function repoGlobToRegExp(pattern: string): RegExp;
-/** glob 模式匹配 `owner/repo`（完整匹配）。 */
-declare function matchesRepoGlob(pattern: string, fullName: string): boolean;
-interface RepoPolicy {
-  /** 白名单 glob（仅作用于发现结果；显式列表不受影响） */
-  include?: string[];
-  /** 黑名单 glob（显式列表 + 发现结果均受约束；与 include 冲突时胜出） */
-  exclude?: string[];
-  /** topic 黑名单（仅作用于发现结果：排除含任一指定 topic 的仓库） */
-  topicsExclude?: string[];
-}
-/** 是否命中任一 exclude 模式（黑名单）。 */
-declare function matchesRepoExclude(policy: RepoPolicy, fullName: string): boolean;
-/** 是否通过 include 白名单（include 为空 = 不限制；非空 = 必须命中任一模式）。 */
-declare function matchesRepoInclude(policy: RepoPolicy, fullName: string): boolean;
-/** topic 黑名单：仓库 topics 含任一指定 topic 即排除（大小写归一化后比较）。 */
-declare function matchesTopicsExclude(policy: RepoPolicy, topics: string[]): boolean;
-/**
- * 过滤显式仓库列表：仅受 exclude 约束（白名单 include 不适用于显式列表，
- * 设计要点：显式优先，用户显式指定的仓库不应被 include 静默剔除）。
- */
-declare function filterExplicitRepositories(policy: RepoPolicy, repositories: string[]): string[];
-//#endregion
-//#region src/github/repo-selector.d.ts
-/**
- * 从文件读取仓库列表（每行一个 `owner/repo`）。
- * 空行和 `#` 开头的注释行会被跳过。
- */
-declare function readReposFile(filePath: string): string[];
-/**
- * 合并 CLI 传入仓库列表与文件中的仓库列表，去重并校验。
- */
-declare function resolveRepoList(cliRepos: string[], reposFilePath?: string): string[];
-//#endregion
-//#region src/github/repository-discovery.d.ts
-interface RepositoryDiscoveryOptions {
-  /** 已认证的 Octokit 实例 */
-  client: Octokit;
-  /** owner / org 列表（分别拉取后合并） */
-  owners: string[];
-  /**
-   * topic 白名单（AND 语义）：仓库必须包含**全部**指定 topics 才保留。
-   * 为空时不按 topic 过滤。
-   */
-  topics?: string[];
-  /**
-   * 名单策略（include / exclude / topicsExclude）：
-   * 在基础过滤与 topic 过滤之后、dependabot.yml 探测**之前**应用——
-   * 被策略排除的仓库不触达 contents API（探测请求数量受控）。
-   * include 与 exclude 冲突时 exclude 胜出。
-   */
-  policy?: RepoPolicy;
-  /**
-   * 是否探测 `.github/dependabot.yml` 存在性（默认 true）。
-   * 仅对候选仓库触达 contents API；404 视为不支持（false），不剔除仓库。
-   */
-  probeDependabot?: boolean;
-  /** dependabot.yml 探测并发上限（默认 5，避免一次性打爆 API） */
-  probeConcurrency?: number;
-}
-interface DiscoveredRepository {
-  /** `owner/repo` 格式 */
-  fullName: string;
-  defaultBranch: string;
-  topics: string[];
-  /** 默认分支存在 `.github/dependabot.yml`（contents API 探测，404=false） */
-  hasDependabotConfig: boolean;
-}
-/**
- * 按 owner / org 自动发现仓库，产出稳定处理清单。
- *
- * 过滤链（按顺序）：
- * 1. 基础过滤：archived / disabled / fork 剔除，默认分支缺失剔除
- * 2. topic 过滤（`--repo-topics`，AND 语义）
- * 3. 名单策略过滤（include / exclude / topicsExclude，探测前应用）
- * 4. dependabot.yml 探测（仅候选仓库触达 contents API；404 视为不支持，不剔除）
- *
- * 结果按 `fullName` 字典序排序，保证同输入多次运行结果一致
- * （runId / 指纹稳定性前提）。
- *
- * @throws AppError（mapGitHubError 转换；token 权限、网络等全局性问题 fail-fast）
- */
-declare function discoverRepositories(options: RepositoryDiscoveryOptions): Promise<DiscoveredRepository[]>;
-/**
- * 合并显式仓库列表与发现结果：
- * - 显式优先：显式列表保持原顺序且在前
- * - 发现结果仅补充未出现的项（去重；大小写不敏感——GitHub full_name 恒小写，
- *   显式 `Owner/Repo` 与发现 `owner/repo` 视为同一仓库）
- */
-declare function mergeRepositories(explicit: string[], discovered: string[]): string[];
-//#endregion
-//#region src/runners/verification-runner.d.ts
-/**
- * 单条命令的执行结果
- */
-interface CommandResult {
-  /** 执行的命令文本 */
-  command: string;
-  /** 退出码（0 = 成功） */
-  exitCode: number;
-  /** 执行耗时（毫秒） */
-  durationMs: number;
-  /** stdout 摘要（截断到 200 行，已脱敏） */
-  stdout: string;
-  /** stderr 摘要（截断到 200 行，已脱敏） */
-  stderr: string;
-}
-/**
- * 验证执行参数
- */
-interface VerificationParams {
-  /** 工作目录 */
-  workDir: string;
-  /**
-   * 要执行的命令序列。
-   * 默认: `pnpm install --frozen-lockfile` → `pnpm lint` → `pnpm build`
-   */
-  commands?: string[];
-}
-/**
- * 验证执行结果
- */
-interface VerificationResult {
-  /** 所有命令是否全部成功 */
-  success: boolean;
-  /** 每条命令的详细结果 */
-  commandResults: CommandResult[];
-  /** 失败的命令（仅 success=false 时填充） */
-  failedCommand?: string;
-  /** 失败详情（仅 success=false 时填充） */
-  failure?: string;
-}
-/**
- * 按顺序在工作目录执行命令序列，任一命令失败则停止。
- *
- * @example
- * ```ts
- * const result = await runVerification({ workDir: '/repo' })
- * if (!result.success) {
- *     console.error(result.failure)
- * }
- * ```
- */
-declare function runVerification(params: VerificationParams): Promise<VerificationResult>;
-/**
- * 对外暴露以支持单独测试
- */
-declare function sanitizeOutput(output: string): string;
-//#endregion
 //#region src/app/pipeline.d.ts
 interface PipelineLogger {
   info(msg: string): void;
@@ -1459,5 +374,5 @@ declare function createPipeline(deps?: PipelineDeps): Pipeline;
  */
 declare function main(args?: string[]): CliRunResult;
 //#endregion
-export { ALERT_SOURCES, AiOptions, AiTriggerKind, type AlertSourceKind, CliConfigOverrides, CliInvocation, CliRunResult, CommandResult, CreatePullRequestParams, DEFAULT_RUNTIME_CONFIG, DependencyFixResult, DependfixApp, DependfixAppOptions, DependfixBranchStatus, DependfixOpenPR, DependfixRunResult, DiscoveredRepository, ENV_PREFIX, FetchDependabotAlertsParams, FixAndPrPlan, FixBranchResult, LockfileDiff, LockfileFailureCategory, LockfileRepairResult, MAX_GLOB_PATTERN_LENGTH, OctokitClientOptions, type Pipeline, type PipelineDeps, type PipelineLogger, type PipelineParseResult, PullRequestResult, RUNTIME_MODES, RepairAttempt, RepairLockfileParams, RepairStrategy, RepoPolicy, RepositoryDiscoveryOptions, ResolveRuntimeConfigOptions, RetryPolicyOptions, RuntimeConfig, RuntimeMode, SEVERITY_THRESHOLDS, type SeverityThreshold, UpgradeDependencyParams, VerificationParams, VerificationResult, applyVersionedOverrides, argsDef, classifyLockfileFailure, closePullRequest, compareSemver, computeFixAndPrPlan, computeFixFingerprint, computeLockfileDiff, computeRetryDelayMs, createFixBranch, createGitHubClient, createPipeline, createPullRequest, deleteRemoteBranch, dependfixCommand, detectPnpmMajor, discoverRepositories, ensurePnpmOverrides, extractFingerprintFromBranch, extractLockfileVersion, extractPrefix, fetchDependabotAlerts, filterExplicitRepositories, findDependencyVersion, findDependfixOpenPR, generatePRBody, getBranchPrStatus, inferRepoFromGitRemote, isConfirmAnswer, isCrossMajorFixRequired, isNonSemverDeclaration, isValidPnpmVersion, listDependfixBranches, main, mapGitHubError, matchesRepoExclude, matchesRepoGlob, matchesRepoInclude, matchesTopicsExclude, mergeRepositories, overrideTransitiveDependency, parseCliArgs, parseMajorVersion, pushBranch, readEnv, readEnvConfig, readLockfileVersion, readLockfileVersions, readReposFile, repairLockfile, repoGlobToRegExp, resolvePnpmVersion, resolveRepoList, resolveRuntimeConfig, runCli, runDependfixMain, runVerification, sanitizeOutput, stageAndCommit, upgradeDependency };
+export { CliInvocation, CliRunResult, type Pipeline, type PipelineDeps, type PipelineLogger, type PipelineParseResult, argsDef, createPipeline, dependfixCommand, main, parseCliArgs, runCli, runDependfixMain };
 //# sourceMappingURL=index.d.mts.map