spectrum-cli 6.0.2 → 6.0.4

package/CHANGELOG.md

@@ -9,6 +9,18 @@ This is the changelog of the `spectrum-cli` npm package. Its version comes from
 `package.json`; the release commands use Git tags and `CHANGELOG.md` in the
 **target project** and do not update that project's `package.json`.
 
+## 🚀 [6.0.4] - 2026-10-29
+
+### Fixed
+
+- В Skopeo передаётся ссылка repository@digest без tag: устранена ошибка Docker references with both a tag and digest. Исходный tag сохраняется в отчёте для поиска обновлений runtime; порт registry не изменяется.
+
+## 🚀 [6.0.3] - 2026-10-29
+
+### Fixed
+
+- Начальный и повторный npm audit явно используют https://registry.npmjs.org/; удалены Nexus-авторизация аудита и глобальная подмена npm registry. Установка зависимостей сохраняет настройки проекта.
+
 ## 🚀 [6.0.2] - 2026-10-29
 
 ### Fixed

package/README.md

@@ -614,11 +614,16 @@ fixtures получены из прежнего Python-кода; исполня
 
 ### npm registry и проверка runtime
 
-`NIGHTLY_NPM_REGISTRY` задаёт доверенный HTTPS registry для npm-команд ночного процесса. При наличии
-`NEXUS_USER` / `NEXUS_PASSWORD` CLI создаёт временный `.npmrc` с BASIC auth, ограниченной host/path этого registry.
-Существующий user config сохраняется, исходный файл не меняется. Временный файл имеет права `0600`, удаляется
-после команды и не входит в отчёт. URL registry передаётся CI-компонентом; значения инфраструктуры в CLI не зашиты.
-Ошибки npm сохраняют HTTP-код и причину, при этом credentials удаляются из диагностических сообщений.
+`security scan` и повторный audit после исправлений всегда вызывают:
+
+```sh
+npm audit --registry=https://registry.npmjs.org/ --omit=dev --audit-level=high --json
+```
+
+Публичный registry указан прямо в argv команды, как в локальном алиасе `na`. Nexus-авторизация для аудита
+не создаётся. Настройки registry в проектном `.npmrc` и user config не меняются: установка и обновление
+зависимостей продолжают использовать конфигурацию проекта. Порог ночного процесса — HIGH/CRITICAL.
+Ошибки audit сохраняют HTTP-код и причину с удалением credentials из диагностических сообщений.
 
 Для версии Node из runtime нужны Skopeo, umoci и chroot. CLI копирует выбранную платформу immutable OCI-образа,
 распаковывает rootfs в rootless-режиме и запускает только настроенный Node binary с `--version` от uid/gid 65534.

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "spectrum-cli",
-  "version": "6.0.2",
+  "version": "6.0.4",
   "description": "🚀 Modern CLI for development workflow automation - release management, versioning, and changelog generation",
   "main": "index.js",
   "bin": {

package/src/security/runtime.js

@@ -90,45 +90,6 @@ async function registryAuth(env, action) {
         ).toString("base64"),
       };
     const runtime = { ...env };
-    if (env.NIGHTLY_NPM_REGISTRY && env.NIGHTLY_NPM_ENABLED !== "false") {
-      let registry;
-      try {
-        registry = new URL(env.NIGHTLY_NPM_REGISTRY);
-      } catch {
-        throw new Error("NIGHTLY_NPM_REGISTRY must be an HTTPS registry URL");
-      }
-      ensure(
-        registry.protocol === "https:" &&
-          !registry.username &&
-          !registry.password &&
-          !registry.search &&
-          !registry.hash,
-        "NIGHTLY_NPM_REGISTRY must be an HTTPS registry URL",
-      );
-      runtime.NPM_CONFIG_REGISTRY = registry.href;
-      if (env.NEXUS_USER && env.NEXUS_PASSWORD) {
-        const userconfig =
-          env.NPM_CONFIG_USERCONFIG ||
-          env.npm_config_userconfig ||
-          path.join(require("node:os").homedir(), ".npmrc");
-        const existing = fs.existsSync(userconfig)
-          ? fs.readFileSync(userconfig, "utf8")
-          : "";
-        const scope =
-          "//" + registry.host + registry.pathname.replace(/\/?$/, "/");
-        const auth = Buffer.from(
-          env.NEXUS_USER + ":" + env.NEXUS_PASSWORD,
-        ).toString("base64");
-        const file = path.join(directory, "npmrc");
-        fs.writeFileSync(
-          file,
-          existing.trimEnd() + "\n" + scope + ":_auth=" + auth + "\n",
-          { mode: 0o600 },
-        );
-        runtime.NPM_CONFIG_USERCONFIG = file;
-        delete runtime.npm_config_userconfig;
-      }
-    }
     if (Object.keys(auths).length) {
       const file = path.join(directory, "config.json");
       fs.writeFileSync(file, JSON.stringify({ auths }), { mode: 0o600 });

package/src/security/scan.js

@@ -59,6 +59,17 @@ function runtimeFromDockerfile(text) {
   ensure(last, "No runtime FROM found");
   return last;
 }
+function skopeoImageReference(image) {
+  const at = image.indexOf("@");
+  if (at === -1) return image;
+  const name = image.slice(0, at),
+    digest = image.slice(at + 1);
+  ensure(DIGEST.test(digest), "Invalid runtime image digest");
+  const colon = name.lastIndexOf(":"),
+    slash = name.lastIndexOf("/");
+  // Strip the tag, never the registry port. Keep the original tag in report metadata.
+  return (colon > slash ? name.slice(0, colon) : name) + "@" + digest;
+}
 class Scanner {
   constructor(env = process.env, deps = {}) {
     this.env = env;
@@ -69,7 +80,14 @@ class Scanner {
   }
   async auditNpm(root, evidence) {
     const proc = this.run(
-      ["npm", "audit", "--omit=dev", "--audit-level=high", "--json"],
+      [
+        "npm",
+        "audit",
+        "--registry=https://registry.npmjs.org/",
+        "--omit=dev",
+        "--audit-level=high",
+        "--json",
+      ],
       root,
       { allowed: [0, 1] },
     );
@@ -114,7 +132,7 @@ class Scanner {
       "inspect",
       "--format",
       "{{.Digest}}",
-      "docker://" + image,
+      "docker://" + skopeoImageReference(image),
     ]).stdout.trim();
     ensure(DIGEST.test(digest), "Registry did not return an image digest");
     return image.split("@")[0] + "@" + digest;
@@ -136,7 +154,7 @@ class Scanner {
         "--override-arch",
         platform.split("/")[1],
         "copy",
-        "docker://" + image,
+        "docker://" + skopeoImageReference(image),
         "oci:" + imagePath + ":runtime",
       ]);
       this.run([