[msmsrep]

概要

dotnet list package --vulnerable で High が検出されたパッケージを修正版へ上げ、再発に気づけるよう定期チェックを入れる。
（#29 を分割したもの。保全実績の権限の修正は別の PR）

変更

既知の脆弱性があるパッケージを修正版へ上げる

• Microsoft.AspNetCore.Components.WebAssembly.Server 10.0.10（High：GHSA-g27p-qf6j-c96c・GHSA-qjpx-jqm5-h2c4）ほか、Microsoft.* の 10.0.10 をすべて 10.0.13 に揃えた
• System.Security.Cryptography.Pkcs 9.0.4（SqlClient 6.1.1 経由。High：GHSA-846f-f764-76mx ほか）は Infrastructure から 10.0.13 を直接参照して上書きした
• Microsoft.OpenApi を 2.12.2 へ上げた（AspNetCore.OpenApi 10.0.13 の要求。上げないと NU1605 でビルドエラー）
• dotnet-ef ツールを 10.0.13 に揃えた

依存の更新確認と脆弱性チェックを定期実行する

• Dependabot（nuget・github-actions）：毎週月曜 09:00（JST）に dev 向けの PR を作る。担当者は msmsrep（GitHub の通知の Inbox と Assigned に出る）
• Vulnerability ワークフロー：push・PR・週1回の定期実行で、推移的な依存も含めて既知の脆弱性を一覧にし、見つかったら失敗させる
• Dependabot と定期実行は main にマージされてから有効になる

補足

警告をエラーにしているため、脆弱なパッケージが残っていると、まっさらな環境での復元が NuGet 監査（NU1902/NU1903）で失敗する。今の main は CI で落ちる状態なので、この PR を先にマージする。

確認

• ビルド成功・新規の警告なし、テスト全件成功（Api 282件・Client.Web 229件）
• dotnet list package --vulnerable --include-transitive で脆弱なパッケージが0件
• 脆弱性チェックのスクリプトを手元で実行：修正前のコミットでは4件を挙げて失敗し、修正後は成功

🤖 Generated with Claude Code