spectrum-cli 6.0.2 → 6.0.3

package/CHANGELOG.md

@@ -9,6 +9,12 @@ This is the changelog of the `spectrum-cli` npm package. Its version comes from
 `package.json`; the release commands use Git tags and `CHANGELOG.md` in the
 **target project** and do not update that project's `package.json`.
 
+## 🚀 [6.0.3] - 2026-10-29
+
+### Fixed
+
+- Начальный и повторный npm audit явно используют https://registry.npmjs.org/; удалены Nexus-авторизация аудита и глобальная подмена npm registry. Установка зависимостей сохраняет настройки проекта.
+
 ## 🚀 [6.0.2] - 2026-10-29
 
 ### Fixed

package/README.md

@@ -614,11 +614,16 @@ fixtures получены из прежнего Python-кода; исполня
 
 ### npm registry и проверка runtime
 
-`NIGHTLY_NPM_REGISTRY` задаёт доверенный HTTPS registry для npm-команд ночного процесса. При наличии
-`NEXUS_USER` / `NEXUS_PASSWORD` CLI создаёт временный `.npmrc` с BASIC auth, ограниченной host/path этого registry.
-Существующий user config сохраняется, исходный файл не меняется. Временный файл имеет права `0600`, удаляется
-после команды и не входит в отчёт. URL registry передаётся CI-компонентом; значения инфраструктуры в CLI не зашиты.
-Ошибки npm сохраняют HTTP-код и причину, при этом credentials удаляются из диагностических сообщений.
+`security scan` и повторный audit после исправлений всегда вызывают:
+
+```sh
+npm audit --registry=https://registry.npmjs.org/ --omit=dev --audit-level=high --json
+```
+
+Публичный registry указан прямо в argv команды, как в локальном алиасе `na`. Nexus-авторизация для аудита
+не создаётся. Настройки registry в проектном `.npmrc` и user config не меняются: установка и обновление
+зависимостей продолжают использовать конфигурацию проекта. Порог ночного процесса — HIGH/CRITICAL.
+Ошибки audit сохраняют HTTP-код и причину с удалением credentials из диагностических сообщений.
 
 Для версии Node из runtime нужны Skopeo, umoci и chroot. CLI копирует выбранную платформу immutable OCI-образа,
 распаковывает rootfs в rootless-режиме и запускает только настроенный Node binary с `--version` от uid/gid 65534.

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "spectrum-cli",
-  "version": "6.0.2",
+  "version": "6.0.3",
   "description": "🚀 Modern CLI for development workflow automation - release management, versioning, and changelog generation",
   "main": "index.js",
   "bin": {

package/src/security/runtime.js

@@ -90,45 +90,6 @@ async function registryAuth(env, action) {
         ).toString("base64"),
       };
     const runtime = { ...env };
-    if (env.NIGHTLY_NPM_REGISTRY && env.NIGHTLY_NPM_ENABLED !== "false") {
-      let registry;
-      try {
-        registry = new URL(env.NIGHTLY_NPM_REGISTRY);
-      } catch {
-        throw new Error("NIGHTLY_NPM_REGISTRY must be an HTTPS registry URL");
-      }
-      ensure(
-        registry.protocol === "https:" &&
-          !registry.username &&
-          !registry.password &&
-          !registry.search &&
-          !registry.hash,
-        "NIGHTLY_NPM_REGISTRY must be an HTTPS registry URL",
-      );
-      runtime.NPM_CONFIG_REGISTRY = registry.href;
-      if (env.NEXUS_USER && env.NEXUS_PASSWORD) {
-        const userconfig =
-          env.NPM_CONFIG_USERCONFIG ||
-          env.npm_config_userconfig ||
-          path.join(require("node:os").homedir(), ".npmrc");
-        const existing = fs.existsSync(userconfig)
-          ? fs.readFileSync(userconfig, "utf8")
-          : "";
-        const scope =
-          "//" + registry.host + registry.pathname.replace(/\/?$/, "/");
-        const auth = Buffer.from(
-          env.NEXUS_USER + ":" + env.NEXUS_PASSWORD,
-        ).toString("base64");
-        const file = path.join(directory, "npmrc");
-        fs.writeFileSync(
-          file,
-          existing.trimEnd() + "\n" + scope + ":_auth=" + auth + "\n",
-          { mode: 0o600 },
-        );
-        runtime.NPM_CONFIG_USERCONFIG = file;
-        delete runtime.npm_config_userconfig;
-      }
-    }
     if (Object.keys(auths).length) {
       const file = path.join(directory, "config.json");
       fs.writeFileSync(file, JSON.stringify({ auths }), { mode: 0o600 });

package/src/security/scan.js

@@ -69,7 +69,14 @@ class Scanner {
   }
   async auditNpm(root, evidence) {
     const proc = this.run(
-      ["npm", "audit", "--omit=dev", "--audit-level=high", "--json"],
+      [
+        "npm",
+        "audit",
+        "--registry=https://registry.npmjs.org/",
+        "--omit=dev",
+        "--audit-level=high",
+        "--json",
+      ],
       root,
       { allowed: [0, 1] },
     );