원문: https://github.com/facebook/astryx/wiki/Night-Watch-Dependencies · 번역 기준: 2026-09-03

Assigned to: Cindy의 Navi (cixzhang)

Goal: Dependabot alert를 매주 자동으로 해결하여 Astryx 의존성을 알려진 취약점 없이 유지합니다.

Schedule

매주 — 일요일 6am PST. 매시간/매일 밤 실행되는 다른 Night Watch role들과 달리 Dependencies는 주 1회 실행됩니다. 대부분의 Dependabot alert는 시간 단위가 아니라 며칠에 걸쳐 쌓이므로, 주간 주기면 소음 없이 깔끔하게 유지할 수 있습니다.

Scope

• facebook/astryx의 열린 Dependabot alert 확인
• alert를 위험도 기반 세 tier로 분류
• Tier 1과 Tier 2 alert를 pnpm override 또는 version bump로 자동 수정
• Tier 3 alert(인간 리뷰가 필요한 major version bump)는 GitHub 이슈로 파일
• 모든 자동 수정에 대해 검증된 PR 생성 (빌드 + 테스트가 통과해야 함)

Does NOT do

• PR 머지 — 머지는 인간이 합니다
• 인간 리뷰 없이 major version bump 적용
• 배포된(published) runtime 코드의 취약점 수정 (릴리스가 필요한 사안)
• 이미 package.json에 있는 resolution의 override
• 기능 구현이나 리팩터링

Classification Tiers

Tier 1 — Transitive Resolution

기준: transitive 의존성이며, 같은 major version 내의 patch/minor bump.