Bump jwt dependency to support 3.x
Les mainteneurs répondent en général sous 1 jour
Personne n'a encore pris cette issue.
Évaluation
- Difficulté
- 3/5
- Temps estimé
- 1-2 jours
- Accessibilité débutants
- 68/100
- Type d'issue
- Fonctionnalité
- Clarté
- Plutôt claire
- Activité
- Calme
- Stack technique
- ruby
- Domaine
- authentication, backend
Piste de recherche
Commencez par getstream-ruby.gemspec et examinez les sites d’appel de jwt encode/decode du SDK, puis exécutez la suite de tests existante. Le travail est terminé lorsque la contrainte de dépendance prend en charge la plage jwt 3.x choisie et que CI couvre jwt 3.x avec des tests réussis.
Rédigé par le modèle d'indexation à partir du texte de l'issue.
Description
Summary
The current gemspec pins jwt ~> 2.0, which forces consumers to stay on the 2.x line and prevents adopting jwt 3.x in any Ruby app that depends on this gem.
# getstream-ruby.gemspec (v6.1.1)
spec.add_dependency 'jwt', '~> 2.0'
Motivation
The jwt 3.x line introduced several hardenings that apps may want to opt into:
- Rejection of
nil/empty HMAC keys at sign and verify (related to CVE-2026-45363 / GHSA-c32j-vqhx-rx3x) - Enforcement of RSA keys >= 2048 bits
- Stricter RFC 4648 base64 decoding
- Mandatory signature verification before payload access
For consumers already running jwt 3.x in production, adding getstream-ruby currently forces a downgrade, which (a) loses those hardenings and (b) leaves the app stuck on whichever 2.x patch line ends up being the resolved version.
Question
Is bumping the constraint to allow jwt 3.x (e.g. jwt, '>= 2.0', '< 4' or jwt, '~> 3.0') on the roadmap? Quick scan of the SDK usage of jwt suggests the encode/decode call sites should be compatible across 2.x and 3.x, but the maintainers will know best.
There's prior precedent for loosening a dependency constraint in this gem (dotenv — see #25 and #27), so this would follow a similar pattern.
Happy to open a PR with the constraint bump (+ CI matrix entry for jwt 3.x) if that would help.
Thanks!
- Langage dominant
- Ruby
- Étoiles
- 1
- Forks
- 3
- Merge moyen
- 11 h 28 min
- PR mergées (30 j)
- 11
Préparer son environnement
Ce projet ne fournit ni conteneur de développement, ni Dockerfile, ni guide de contribution : l'installation est à votre charge. Commencez par son README, et consultez notre guide de la première contribution pour les étapes générales.
Par où commencer
- Lisez l'issue en entier, puis le guide de contribution du projet.
- Signalez en commentaire que vous la prenez — cela évite que deux personnes fassent le même travail.
- Forkez le dépôt et travaillez sur une branche.
- Ouvrez une pull request qui référence le numéro de l'issue.
Autres issues de GetStream/getstream-ruby
-
Daily integration run is redOuverte
Difficulté 4/5 3-5 jours Accessibilité débutants 35/100
GetStream/getstream-ruby#95 · 5 commentaires ·
Les mainteneurs répondent en général sous 1 jour
Toutes les issues de GetStream/getstream-ruby
Issues similaires
-
Difficulté 2/5 1-3 heures Accessibilité débutants 68/100
Homebrew/homebrew-core#317477 · 2 commentaires ·
Les mainteneurs répondent en général sous 1 jour
-
bug help wanted
Difficulté 2/5 1-3 heures Accessibilité débutants 72/100
hanami/hanami-cli#453 ·
-
area/web interface
Difficulté 2/5 1-3 heures Accessibilité débutants 62/100
mastodon/mastodon#41009 · 2 commentaires ·
Les mainteneurs répondent en général sous 1 jour
-
Difficulté 2/5 1-3 heures Accessibilité débutants 78/100
Les mainteneurs répondent en général sous 1 jour
-
Difficulté 2/5 1-3 heures Accessibilité débutants 82/100
yegor256/ellipsized#131 ·