Dependency-Update-Erkennung: Claude darf keine Abhängigkeiten ändern #72

New issue

Open

opened 2026-03-30 20:19:01 +00:00 by David · 0 comments

David commented

2026-03-30 20:19:01 +00:00

Collaborator

Beschreibung

Laut PROJEKT-SPEC darf Claude Code keine Dependency-Updates durchführen (package.json, requirements.txt, Gemfile etc.). Der Claude Runner in backend/services/claude_runner.py prüft dies aber nicht — Änderungen an Dependency-Dateien werden unerkannt in MRs übernommen.

Hintergrund

Unkontrollierte Dependency-Updates können Security-Risiken einführen, Build-Systeme brechen oder ungewollte Versionssprünge verursachen.

Akzeptanzkriterien

Nach Claude Run: Diff auf bekannte Dependency-Dateien prüfen
Liste: package.json, package-lock.json, yarn.lock, requirements.txt, Pipfile, Gemfile, go.mod, pom.xml, Cargo.toml
Bei Dependency-Änderung: Commit rückgängig machen oder MR blocken
Konfigurierbar: Liste der geschützten Dateien pro Repo
Test: Claude-Output mit geänderter package.json wird erkannt und blockiert

Technische Hinweise

Betroffene Datei: backend/services/claude_runner.py
Ansatz: git diff --name-only nach Claude Run gegen Blocklist prüfen
Migration nötig: nein

Aufwand: S

## Beschreibung Laut PROJEKT-SPEC darf Claude Code keine Dependency-Updates durchführen (package.json, requirements.txt, Gemfile etc.). Der Claude Runner in `backend/services/claude_runner.py` prüft dies aber nicht — Änderungen an Dependency-Dateien werden unerkannt in MRs übernommen. ## Hintergrund Unkontrollierte Dependency-Updates können Security-Risiken einführen, Build-Systeme brechen oder ungewollte Versionssprünge verursachen. ## Akzeptanzkriterien - [ ] Nach Claude Run: Diff auf bekannte Dependency-Dateien prüfen - [ ] Liste: `package.json`, `package-lock.json`, `yarn.lock`, `requirements.txt`, `Pipfile`, `Gemfile`, `go.mod`, `pom.xml`, `Cargo.toml` - [ ] Bei Dependency-Änderung: Commit rückgängig machen oder MR blocken - [ ] Konfigurierbar: Liste der geschützten Dateien pro Repo - [ ] Test: Claude-Output mit geänderter package.json wird erkannt und blockiert ## Technische Hinweise - Betroffene Datei: `backend/services/claude_runner.py` - Ansatz: `git diff --name-only` nach Claude Run gegen Blocklist prüfen - Migration nötig: nein ## Aufwand: S