chore(deps): bump clap from 4.6.2 to 4.6.4 in /rust - #83
Conversation
Bumps [clap](https://github.com/clap-rs/clap) from 4.6.2 to 4.6.4. - [Release notes](https://github.com/clap-rs/clap/releases) - [Changelog](https://github.com/clap-rs/clap/blob/master/CHANGELOG.md) - [Commits](clap-rs/clap@clap_complete-v4.6.2...clap_complete-v4.6.4) --- updated-dependencies: - dependency-name: clap dependency-version: 4.6.4 dependency-type: direct:production update-type: version-update:semver-patch ... Signed-off-by: dependabot[bot] <support@github.com>
LabelsThe following labels could not be found: Please fix the above issues or remove invalid values from |
feurer98
left a comment
feurer98
left a comment
There was a problem hiding this comment.
PR-Gatekeeper-Review
1. Autor + Vertrauensstatus
dependabot[bot] — Vertrauensvorschuss: ja. (Vertrauen senkt die Tonschärfe, nicht die Prüftiefe — vollständige Kontrolle wurde durchgeführt.)
2. Sinnhaftigkeits-Urteil: sinnvoll
Reines Patch-Update clap 4.6.2 → 4.6.4 (+ clap_derive 4.6.1 → 4.6.4). Kein Scope Creep, nur rust/Cargo.lock betroffen. Changelog-Abgleich (Autor-Behauptung vs. Realität): 4.6.3 = Derive-Fix, 4.6.4 = „Update to syn v3" — stimmt mit dem Diff überein. Nennenswert: der transitive Build-Dependency-Sprung syn 2.0.117 → syn 3.0.2 (Major). syn ist eine reine Compile-Time-/proc-macro-Abhängigkeit und landet nicht im Runtime-Binary; Build, Test (stable/beta/windows), Clippy, Rustfmt, Coverage, Benchmarks und Dependency Review sind alle grün. Kein Breaking Change für dieses Projekt erkennbar.
3. Befundliste
| ID | Stelle | Problem | Schweregrad | Empfehlung/Fix | Status |
|---|---|---|---|---|---|
| F-1 | CI: Security Audit + Cargo Deny |
quick-xml v0.37.5 verwundbar: RUSTSEC-2026-0194 & RUSTSEC-2026-0195 (je CVSS 7.5, high) |
hoch | Upgrade quick-xml >= 0.41.0 (via lib3mf-core v0.4.0) |
offen — nicht durch diesen PR verursacht |
| F-2 | rust/Cargo.lock (clap-Diff) |
Bezug zu F-1? | — | Keiner: quick-xml/lib3mf-core werden von diesem Diff nicht berührt (nur clap/clap_derive/syn) |
geklärt |
Zu F-1: Die beiden roten Checks stammen aus quick-xml v0.37.5 → lib3mf-core v0.4.0 → pixestl und sind unabhängig von diesem clap-Bump. Die Advisories sind auf 2026-06-29 datiert; main ist aus demselben Grund derzeit rot. Dieser PR verschlechtert nichts, macht die Pipeline aber auch nicht grün.
4. Entscheidung: CHANGES REQUESTED (Merge zurückgestellt)
Der clap-Bump selbst ist korrekt und sinnvoll, wird aber nicht nach main überführt, solange die Pipeline rot ist (Regel: nur grüne, geprüfte PRs werden gemerged; im Zweifel gegen den Merge). Den quick-xml-Fix in diesen PR aufzunehmen wäre Scope Creep und wird bewusst abgelehnt.
5. Konkrete Korrekturschritte (separat von diesem PR)
- Eigenen PR öffnen:
quick-xmlauf>= 0.41.0heben. Daquick-xmltransitiv überlib3mf-core v0.4.0kommt, ggf.lib3mf-coreaktualisieren odercargo update -p quick-xmlprüfen — Kompatibilität vonlib3mf-coremit quick-xml 0.41 verifizieren. - Sobald
mainwieder grün ist: diesen PR rebasen (·@·d·ependabot r·ebase). Wenn dann alle Checks grün sind, ist er merge-fähig.
Generated by Claude Code
|
Superseded by #85. |
1 participant
Bumps clap from 4.6.2 to 4.6.4.
Release notes
Sourced from clap's releases.
Changelog
Sourced from clap's changelog.
Commits
87ec1adchore: Release78f2529docs: Update changelogb61f270Merge pull request #6369 from Metbcy/fix/zsh-completion-ordering74c6666fix(complete): Keep zsh candidate orderd142d8fMerge pull request #6360 from epage/stringba89563style: Prefer explicit string operationsbea966eMerge pull request #6359 from epage/manb811986chore(man):Remove unused required-features0010bf2Merge pull request #6358 from clap-rs/renovate/crate-ci-typos-1.xbab9b24chore(deps): Update compatible (dev) (#6357)Dependabot will resolve any conflicts with this PR as long as you don't alter it yourself. You can also trigger a rebase manually by commenting
@dependabot rebase.Dependabot commands and options
You can trigger Dependabot actions by commenting on this PR:
@dependabot rebasewill rebase this PR@dependabot recreatewill recreate this PR, overwriting any edits that have been made to it@dependabot show <dependency name> ignore conditionswill show all of the ignore conditions of the specified dependency@dependabot ignore this major versionwill close this PR and stop Dependabot creating any more for this major version (unless you reopen the PR or upgrade to it yourself)@dependabot ignore this minor versionwill close this PR and stop Dependabot creating any more for this minor version (unless you reopen the PR or upgrade to it yourself)@dependabot ignore this dependencywill close this PR and stop Dependabot creating any more for this dependency (unless you reopen the PR or upgrade to it yourself)