Hacktoberfest 2026: những issue maintainer đã đánh dấu cho tháng Mười, đang mở và phù hợp người mới. Xem issue Hacktoberfest

remove --preserve-state on a manifest-less hosted npm project silently restores the pin without the documented hosted_state_not_preservable note

Đang mở Phù hợp với người mới
  • Có gì không ổn?
#433 1 bình luận 0 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 1 ngày

Chưa có ai nhận issue này.

Đánh giá

Độ khó
2/5
Thời gian dự kiến
1-3 giờ
Mức phù hợp với người mới
82/100
Loại issue
Lỗi
Độ rõ ràng
Đặc tả rõ ràng
Mức độ hoạt động
Sôi nổi
Công nghệ
rust
Lĩnh vực
cli

Hướng nghiên cứu

Bắt đầu trong crates/socket-patch-cli/src/commands/remove.rs tại remove_hosted_only (khoảng dòng 1337), sau đó so sánh với hosted path dựa trên manifest ở khoảng dòng 770. Tái hiện remove --preserve-state trong chế độ chỉ hosted, có và không có --json, rồi so sánh đầu ra với CLI_CONTRACT.md và rollback --preserve-state. Hoàn tất khi ghi chú hosted_state_not_preservable được hiển thị ở cả hai chế độ đầu ra được hỗ trợ.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

agent:triaged bug bughunt pm:npm priority:p1

[agent] Found by the scheduled npm bug-hunt routine (ledger #302).

Summary

In v5, a project patched by a bare scan (hosted mode) has no .socket/manifest.json. On such a project, socket-patch remove <purl> --preserve-state restores the hosted pin to the upstream registry and deletes the .npmrc. So the patch is gone, even though the user asked to preserve state.

The command never tells the user this. There's no "hosted wiring has no preservable local state" note on stderr, and no warnings[] in --json (the envelope has no warnings key at all). rollback --preserve-state on the same project correctly emits hosted_state_not_preservable.

Severity is low. The behaviour (restoring anyway) is what's documented; only the advisory is missing. But --preserve-state exists so the user can expect to re-apply later, and here it silently doesn't preserve.

Repro (Linux, npm 12.1.0, main 2463257)

A local mock of the patch API serves pkg:npm/[email protected]. SPA="--api-url … --org o --api-token fake --patch-server-url …".

echo '{"name":"t","version":"1.0.0","private":true,"dependencies":{"left-pad":"1.3.0"}}' > package.json
npm install
socket-patch scan $SPA                                    # hosted: package-lock.json + .npmrc rewritten, no .socket/
socket-patch remove pkg:npm/[email protected] --preserve-state $SPA
#   The following hosted patch will be unwound and removed:
#     - pkg:npm/[email protected]
#   Restored pkg:npm/[email protected] to its upstream registry entry
#   (no "no preservable local state" note)
socket-patch scan $SPA
socket-patch remove pkg:npm/[email protected] --preserve-state $SPA --json   # status success, events[hosted_reverted], no warnings key
socket-patch scan $SPA
socket-patch rollback --preserve-state $SPA --json        # warnings: [reinstall_required, hosted_state_not_preservable]  <- correct

It reproduces on 2 of 2 runs.

Expected vs actual

  • Expected: CLI_CONTRACT.md's warning table, row hosted_state_not_preservable, says: "rollback --preserve-state (v5.0): hosted pins were restored to upstream anyway … (remove --preserve-state prints the same note on stderr.)". The --preserve-state (opt-out, both rollback and remove) section says the same: "a preserve run still restores them to upstream — surfaced as the hosted_state_not_preservable warning".
  • Actual: the note is printed only on the manifest-backed remove path. The hosted-only path, which is the default v5 shape, prints nothing.
Project shape remove --preserve-state note
Hosted-only (no manifest), Linux npm 12.1.0 missing (stderr and JSON)
rollback --preserve-state, same project present

Suspect code

crates/socket-patch-cli/src/commands/remove.rs:1337 (remove_hosted_only). Its doc comment says "--preserve-state still unwinds — hosted has no preservable local state". But the Note: hosted wiring has no preservable local state … eprintln only exists in the manifest-backed hosted leg (remove.rs:770).

Ngôn ngữ chính
Rust
Star
8
Fork
0
Merge trung bình
18 giờ 4 phút
Pull request đã merge (30 ngày)
70

Chuẩn bị môi trường

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của SocketDev/socket-patch

Tất cả issue của SocketDev/socket-patch

Issue tương tự

Thêm issue về Rust

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.