Move Schematic dependencies to `peerDependencies` or `devDependencies`

Offen

#3,694 erstellt am 31.3.2026 1 Kommentar 0 Reaktionen 0 zugewiesene Personen Auf GitHub ansehen

Dieses Issue hat noch niemand übernommen.

Bewertung

Schwierigkeit: 3/5
Geschätzter Aufwand: 1-2 Tage
Anfängerfreundlichkeit: 52/100

Issue-Typ: Refactoring
Klarheit: Größtenteils klar
Aktivitätsstatus: Ruhig
Tech-Stack: angular, typescript
Bereich: build-system, security

Rechercherichtung

Beginne mit src/package.json und untersuche die Verweise unter src/schematics und tools/, um festzustellen, welche Platzierung der Abhängigkeiten diese Build-Zeit-Aufgaben erfordern. Führe die gemeldete pnpm production dependency check aus und verwende pm why picomatch, um den Produktionsgraphen zu vergleichen. Als erledigt gilt die Aufgabe, wenn die schematic-Pakete nicht mehr in den Produktionsabhängigkeiten enthalten sind und die erforderlichen lokalen Generierungsaufgaben weiterhin funktionieren.

Vom Indexierungsmodell aus dem Issue-Text verfasst.

Beschreibung

Description

In src/package.json, @schematics/angular and @angular-devkit/schematics are currently listed under dependencies. Since these packages are only utilized for build-time tasks and schematic generation (found in src/schematics and tools/), they should not be included in production bundles.

Including them in dependencies causes unnecessary bloat and, more critically, pulls in downstream vulnerabilities that wouldn't otherwise affect the production environment.

Current Configuration

  "dependencies": {
    "firebase": "^12.4.0",
    "rxfire": "^6.1.0",
    "@angular-devkit/schematics": "^21.0.0", // Move or Remove
    "@schematics/angular": "^21.0.0",        // Move or Remove
    "tslib": "^2.3.0"
  },

Impact: Dependency Vulnerability

This misconfiguration currently introduces a vulnerability via picomatch, which is a sub-dependency of the Angular devkit. Running a production-only dependency check confirms these are being pulled into the prod graph:

❯ pm why picomatch --prod
Using pnpm
picomatch@4.0.3
├─┬ @angular-devkit/core@21.2.0
│ ├─┬ @angular-devkit/schematics@21.2.0
│ │ └─┬ @schematics/angular@21.2.0
│ │   └─┬ @angular/fire@21.0.0-rc.0
│ │     └── @my-project/source@0.0.0 (dependencies)
│ └── @schematics/angular@21.2.0 [deduped]
└─┬ @angular-devkit/core@21.2.2
  └─┬ @angular-devkit/schematics@21.2.2
    └── @angular/fire@21.0.0-rc.0 [deduped]

Found 1 version of picomatch

Proposed Solution

Remove @schematics/angular and @angular-devkit/schematics if they are only needed for generating code in local development. Any Angular project will have them.
Alternatively, move them to peerDependencies (marked as optional if necessary).

Vorherrschende Sprache: TypeScript
Sterne: 7.8k
Forks: 2.2k
Ø Merge: 3 T. 6 Std.
Gemergte PRs (30 T.): 5

Beitragsleitfaden

Beitragsleitfaden öffnen

Erste Schritte

Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
Forken Sie das Repository und arbeiten Sie in einem Branch.
Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.

Mehr aus angular/angularfire

Canary builds are named after the release candidate, so npm ranks them above it Offen

comp: build/pipeline type: bug version: current (v17+)

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 74/100

angular/angularfire#3766 · Erstellt am 23.9.2026
`ng add @angular/fire` stops with `Cannot read properties of undefined (reading 'email')` on firebase-tools 15 Offen

comp: schematics type: bug version: current (v17+)

Schwierigkeit 3/5 1-2 Tage Anfängerfreundlichkeit 76/100

angular/angularfire#3768 · Erstellt am 23.9.2026
docs: the documented install and upgrade commands do not work with 21.0.0-rc.1 Offen

comp: docs type: chore version: current (v17+)

Schwierigkeit 4/5 3-5 Tage Anfängerfreundlichkeit 58/100

angular/angularfire#3764 · Erstellt am 22.9.2026
Use `TransferState` to hand server-rendered Firestore data to the browser, instead of reading every document twice Offen

comp: firestore comp: ssr priority: P0 (critical) type: feature version: current (v17+)

angular/angularfire#3757 · 1 zugewiesene Person · Erstellt am 31.8.2026
Six `firebase` entry points have no `@angular/fire` equivalent, so their exports are unreachable Offen

comp: core type: feature

angular/angularfire#3755 · 1 zugewiesene Person · Erstellt am 31.8.2026

Alle Issues in angular/angularfire