react-native-store-version 1.4.1 → 1.4.2

package/.github/workflows/pr.yml

@@ -4,6 +4,12 @@ on:
     types: ['opened', 'synchronize']
     branches:
       - 'master'
+      # 1.x の修正は v1.4.2 のタグから切る 1.x ブランチで行う（R7）
+      - '1.x'
+
+# PR の CI には secrets も書き込み権限も渡さない
+permissions:
+  contents: read
 
 jobs:
   build_and_deploy:
@@ -12,13 +18,31 @@ jobs:
 
     steps:
       - name: Checkout Repo
-        uses: actions/checkout@master
+        uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7.0.1
+        with:
+          persist-credentials: false
+
+      # v1 のテストは Node 18.18.2 で実行する。v1 の devDependency react-native@0.69.3 の jest/setup.js が
+      # global.performance に代入するため、Node 18.19.0 以降（19+ を含む）では全スイートが失敗する（D29）。
+      # master（v2）は Phase 1a で pnpm 化し、Phase 1c でテスト基盤を作り直したら Node 24 に戻す
+      - name: Setup Node.js (test)
+        uses: actions/setup-node@949feb2413d6458794dcd2491c4babbbce0c15c1 # v7.1.0
+        with:
+          node-version: 18.18.2
+          package-manager-cache: false
 
       - name: Install Dependencies
-        run: npm install
+        run: npm ci --ignore-scripts
 
       - name: Test
         run: npm run test
 
+      # build は release.yml と同じ Node 24 で確認する
+      - name: Setup Node.js (build)
+        uses: actions/setup-node@949feb2413d6458794dcd2491c4babbbce0c15c1 # v7.1.0
+        with:
+          node-version: 24
+          package-manager-cache: false
+
       - name: Build
         run: npm run build

package/.github/workflows/release.yml

@@ -1,31 +1,259 @@
-name: publish package
+# npm への publish は Trusted Publishing（OIDC）で行う。
+# npmjs.com 側の Trusted Publisher 登録はこのファイル名（release.yml）と environment（npm）の完全一致が必要なので、
+# ファイル名を変えないこと（登録時には検証されず、publish 時に初めて失敗する）。
+name: release
+
 on:
-  release:
-    types: [published]
+  push:
+    # `v1` のような major タグ（このワークフロー自身が付け替える）では発火させない
+    tags:
+      - 'v[0-9]+.[0-9]+.[0-9]+*'
+
+# ジョブ単位で必要な権限だけを付与する
+permissions: {}
+
+# リリースは 1 本ずつ実行する。並列に走ると、dist-tag の判定（npm view の latest）や
+# major タグの付け替えの順序が崩れ、latest や v<major> が古い版に戻りうるため。
+# GitHub は 1 グループにつき待機中の run を 1 本しか持たないので、3 本目を push すると待機中の 2 本目はキャンセルされる
+# （publish 前に止まるだけなので安全。キャンセルされた run は後から再実行する）。
+concurrency:
+  group: release
+  cancel-in-progress: false
+
+defaults:
+  run:
+    shell: bash
 
 jobs:
-  build_and_deploy:
-    name: build test
+  # test だけ Node 18.18.2 で実行する。v1 の devDependency react-native@0.69.3 の jest/setup.js が
+  # global.performance に代入するため、performance が read-only になった Node 18.19.0 以降（19+ を含む）では
+  # 全スイートが失敗する。`18` と書くと 18 系の最新（18.20.x）が入って失敗するので、パッチまで固定する。
+  # master（v2）は Phase 1c でテスト基盤を作り直したら Node 24 に戻す。
+  # 1.x 系（v1.4.2 のタグから切る 1.x ブランチ）では v1 のテストを動かすため 18.18.2 のままにする（D29）。
+  test:
+    name: test (Node 18.18.2)
     runs-on: ubuntu-latest
+    permissions:
+      contents: read
 
     steps:
-      - name: Checkout Repo
-        uses: actions/checkout@master
+      - name: Checkout
+        uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7.0.1
+        with:
+          persist-credentials: false
 
-      - uses: actions/setup-node@v3
+      - name: Setup Node.js
+        uses: actions/setup-node@949feb2413d6458794dcd2491c4babbbce0c15c1 # v7.1.0
         with:
-          registry-url: 'https://registry.npmjs.org'
+          node-version: 18.18.2
+          package-manager-cache: false
 
-      - name: Install Dependencies
-        run: npm install
+      # 依存の lifecycle script（postinstall など）は実行しない（v1 は不要）
+      - name: Install dependencies
+        run: npm ci --ignore-scripts
 
       - name: Test
-        run: npm run test
+        run: npm test
+
+  publish:
+    name: publish to npm
+    # test が失敗したら publish しない（タグと version の照合はこのジョブの先頭で、publish より前に行う）
+    needs: test
+    runs-on: ubuntu-latest
+    environment: npm
+    permissions:
+      contents: read
+      # Trusted Publishing と provenance の OIDC トークン発行に必要
+      id-token: write
+    outputs:
+      version: ${{ steps.dist-tag.outputs.version }}
+      major: ${{ steps.dist-tag.outputs.major }}
+      prerelease: ${{ steps.dist-tag.outputs.prerelease }}
+      not-latest: ${{ steps.dist-tag.outputs.not-latest }}
+
+    steps:
+      - name: Checkout
+        uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7.0.1
+        with:
+          # このジョブは push しないので、GITHUB_TOKEN を git の設定に残さない
+          persist-credentials: false
+
+      - name: Setup Node.js
+        uses: actions/setup-node@949feb2413d6458794dcd2491c4babbbce0c15c1 # v7.1.0
+        with:
+          node-version: 24
+          registry-url: 'https://registry.npmjs.org'
+          # publish するジョブではキャッシュを使わない（cache poisoning 対策）
+          package-manager-cache: false
+
+      # タグ名はイベント由来の値なので、run に直接埋め込まず env 経由で参照する（スクリプト注入防止）
+      - name: Verify tag matches package.json version
+        env:
+          TAG: ${{ github.ref_name }}
+        run: |
+          version="$(node -p "require('./package.json').version")"
+          if [[ "$TAG" != "v${version}" ]]; then
+            echo "::error::tag (${TAG}) does not match package.json version (v${version})"
+            exit 1
+          fi
+
+      # id-token: write を持つジョブなので、依存の lifecycle script（postinstall など）は実行しない
+      # （lifecycle script 経由で OIDC トークンが使われる経路を塞ぐ。build では devDependency の tsc は動く。
+      # v1 の build は tsc だけなので script は不要）
+      - name: Install dependencies
+        run: npm ci --ignore-scripts
 
       - name: Build
         run: npm run build
 
-      - name: Pubish
-        run: npm publish
+      # dist-tag の判定順（spec 10.1）:
+      #   1. version に `-` を含む（プレリリース）→ --tag next
+      #   2. major が npm の latest の major より古い → --tag v<major>（何も付けないと latest が古い major に戻る）
+      #   3. それ以外 → 指定なし（latest）
+      # latest が取れないときは E404（未公開）だけ latest 扱いにし、それ以外は止める
+      # （誤って latest を上書きするより止まる方が安全）。
+      - name: Determine dist-tag
+        id: dist-tag
+        env:
+          TAG: ${{ github.ref_name }}
+        run: |
+          # 前のステップで tag == "v<package.json の version>" を確認済み
+          version="${TAG#v}"
+          major="${version%%.*}"
+          dist_tag=""
+          prerelease=false
+          not_latest=false
+
+          if [[ "$version" == *-* ]]; then
+            dist_tag="next"
+            prerelease=true
+          else
+            # E404 は stdout ではなく stderr にしか出ないので、stderr を取って判定する
+            err_file="$(mktemp)"
+            if latest="$(npm view react-native-store-version dist-tags.latest 2>"$err_file")"; then
+              # 成功しても値が想定外なら、latest を上書きしないよう止める
+              if [[ ! "$latest" =~ ^[0-9]+\. ]]; then
+                echo "::error::unexpected dist-tags.latest: '${latest}'"
+                exit 1
+              fi
+              latest_major="${latest%%.*}"
+              if (( major < latest_major )); then
+                dist_tag="v${major}"
+                not_latest=true
+              fi
+            elif grep -q 'E404' "$err_file"; then
+              echo "react-native-store-version is not published yet; publishing as latest"
+            else
+              cat "$err_file" >&2
+              echo "::error::npm view failed (not E404)"
+              exit 1
+            fi
+          fi
+
+          echo "version=${version} major=${major} dist-tag=${dist_tag:-(latest)} prerelease=${prerelease} not-latest=${not_latest}"
+          {
+            echo "version=${version}"
+            echo "major=${major}"
+            echo "dist-tag=${dist_tag}"
+            echo "prerelease=${prerelease}"
+            echo "not-latest=${not_latest}"
+          } >> "$GITHUB_OUTPUT"
+
+      # Trusted Publishing には npm >= 11.5.1 が必要
+      - name: Ensure npm >= 11.5.1
+        run: |
+          current="$(npm -v)"
+          # sort -V -C は「並びが昇順なら成功」なので、11.5.1 <= current のときだけ成功する
+          if ! printf '%s\n' 11.5.1 "$current" | sort -V -C; then
+            echo "npm ${current} is older than 11.5.1; upgrading"
+            npm install -g npm@^11.5.1
+          fi
+          npm -v
+
+      # NODE_AUTH_TOKEN / NPM_TOKEN は使わない（OIDC で認証する）
+      - name: Publish
+        env:
+          DIST_TAG: ${{ steps.dist-tag.outputs.dist-tag }}
+        run: |
+          if [[ -n "$DIST_TAG" ]]; then
+            npm publish --provenance --tag "$DIST_TAG"
+          else
+            npm publish --provenance
+          fi
+
+  github-release:
+    name: create GitHub Release
+    needs: publish
+    runs-on: ubuntu-latest
+    permissions:
+      contents: write
+
+    steps:
+      - name: Create GitHub Release
+        env:
+          GH_TOKEN: ${{ github.token }}
+          TAG: ${{ github.ref_name }}
+          PRERELEASE: ${{ needs.publish.outputs.prerelease }}
+          NOT_LATEST: ${{ needs.publish.outputs.not-latest }}
+        run: |
+          args=(--repo "$GITHUB_REPOSITORY" --generate-notes)
+          if [[ "$PRERELEASE" == "true" ]]; then
+            args+=(--prerelease)
+          fi
+          # 古い major の版（--tag v<major> で publish した版）が GitHub の「Latest」にならないようにする
+          if [[ "$NOT_LATEST" == "true" ]]; then
+            args+=(--latest=false)
+          fi
+          gh release create "$TAG" "${args[@]}"
+
+  major-tag:
+    name: move major tag
+    needs: publish
+    # プレリリースでは major タグを動かさない
+    if: needs.publish.outputs.prerelease == 'false'
+    runs-on: ubuntu-latest
+    permissions:
+      contents: write
+
+    steps:
+      # タグを push するので、このジョブだけは credentials を残す
+      - name: Checkout
+        uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7.0.1
+
+      # publish した版自身の major（1.x なら v1、2.x なら v2）を付け替える。
+      # v1 などはトリガーのパターンに合わないので、push してもこのワークフローは再発火しない。
+      # その major で公開済みの正式版のうち、この版が最新のときだけ付け替える
+      # （古い版のジョブを再実行しても v<major> が古い版に戻らないように）。
+      # publish 直後は npm view にまだ出てこないことがあるので、この版自身も候補に加えて比べる。
+      - name: Move major tag
         env:
-          NODE_AUTH_TOKEN: ${{secrets.NPM_TOKEN}}
+          VERSION: ${{ needs.publish.outputs.version }}
+          MAJOR: ${{ needs.publish.outputs.major }}
+        run: |
+          # 範囲に合う版が 1 つも無い（その major の最初の正式版で、まだ npm view に出てこない）と
+          # npm view は E404 で失敗する。E404 のときだけ「公開済みの正式版なし」として扱い、それ以外は止める
+          err_file="$(mktemp)"
+          if ! published="$(npm view "react-native-store-version@^${MAJOR}.0.0" version --json 2>"$err_file")"; then
+            if grep -q 'E404' "$err_file"; then
+              published=""
+            else
+              cat "$err_file" >&2
+              echo "::error::npm view failed (not E404)"
+              exit 1
+            fi
+          fi
+          # コマンド置換の中では errexit が外れるので、node の失敗で止まるよう独立した代入にする
+          list="$(printf '%s' "$published" | node -e '
+            let s = "";
+            process.stdin.on("data", (d) => (s += d)).on("end", () => {
+              const v = s.trim() ? JSON.parse(s) : [];
+              for (const x of Array.isArray(v) ? v : [v]) console.log(x);
+            });
+          ')"
+          highest="$(printf '%s\n' "$list" "$VERSION" | sed '/^$/d' | sort -V | tail -n 1)"
+          if [[ "$highest" != "$VERSION" ]]; then
+            echo "v${MAJOR} is kept: ${VERSION} is older than the published ${highest}"
+            exit 0
+          fi
+          git tag -f "v${MAJOR}"
+          git push -f origin "v${MAJOR}"

package/CHANGELOG.md

@@ -0,0 +1,23 @@
+# CHANGELOG
+
+## v1.4.2
+
+- Changed the publish flow only (npm Trusted Publishing with provenance). No changes to the library code; no impact on users.
+
+## v1.4.1
+
+- fix `cannot read property "length" of undefined` on iOS by [magrinj](https://github.com/magrinj)
+  - https://github.com/watanabeyu/react-native-store-version/pull/54
+
+## v1.4.0
+
+- Sorry for the long wait for an update.
+- fix android.ts by [hussainimdad004](https://github.com/hussainimdad004)
+  - https://github.com/watanabeyu/react-native-store-version/issues/39
+- use prettier
+- move example to [snack](https://snack.expo.dev/@watanabe_yu/react-native-store-version-example)
+
+## v1.3.0
+
+- if failed, throw an error.
+- add result detail.

package/README.md

@@ -14,18 +14,7 @@ $ npm install --save react-native-store-version
 
 ## CHANGELOG
 
-### v1.4.0
-
-- Sorry for the long wait for an update.
-- fix android.ts by [hussainimdad004](https://github.com/hussainimdad004)
-  - https://github.com/watanabeyu/react-native-store-version/issues/39
-- use prettier
-- move example to [snack](https://snack.expo.dev/@watanabe_yu/react-native-store-version-example)
-
-### v1.3.0
-
-- if failed, throw an error.
-- add result detail.
+See [CHANGELOG.md](./CHANGELOG.md).
 
 ## Usage
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "react-native-store-version",
-  "version": "1.4.1",
+  "version": "1.4.2",
   "main": "dist/index.js",
   "types": "dist/index.d.ts",
   "license": "MIT",
@@ -10,7 +10,7 @@
   },
   "repository": {
     "type": "git",
-    "url": "git@github.com:watanabeyu/react-native-store-version.git"
+    "url": "git+https://github.com/watanabeyu/react-native-store-version.git"
   },
   "keywords": [
     "react-native",