fix: install 後の lock 全件を age 検証し未解消を報告する

[owayo]

--install が実際に lock へ入れた版を確認せず、Rust の差し戻しに失敗した後の無変更再実行や pnpm の推移依存を成功扱いしていた問題を修正します。

• Rust は install で入った変更だけを差し戻し、別の時間枠で既存版を含む最終 Cargo.lock の全 crates.io 依存を検証します。変更がない再実行でも若い版や未確認を exit 2 とし、失敗した名前・要求版・Cargo の理由を通常出力に表示します。
• pnpm と npm の lock を直接依存・推移依存・開発依存まで確認します。pnpm の実効レジストリ、npm-shrinkwrap の優先順位、依存グラフの欠落も確認し、不明な取得元を同名の公開パッケージで代用しません。共有 pnpm workspace は全メンバーの最も厳しい期間を使います。
• Rust の全件検証は Cargo の公式 sparse index の公開日を並列取得します。yank 済みのロック版を検証しても、更新・差し戻し候補には追加しません。pnpm の age は旧・新両方の環境変数へ渡します。

Node の監査は lock を自動で書き換えません。Yarn・Bun・npm lock 形式 1 は未対応として exit 2 で通知します。lock がなく install も不要な実行は従来どおり正常終了します。英語・日本語の利用ガイドと終了コードの文書も更新しました。

検証: make ci（fmt、clippy、全テスト）、実物 pnpm のオフライン依存グラフ、astro-sight の影響検査。設計は Claude / Codex と相談し、Codex の差分レビューで見つかった取得元・優先 lock・推移依存欠落の問題も修正しました。npm の overrides・alias 置換・有効な空 OR 範囲では、npm が解決した実版を監査する回帰テストを追加しています。

Closes #12

[coderabbitai]

Important

• 🔍 Trigger review

This repository does not receive automatic reviews because it has fewer than 10 stars.

⚙️ Run configuration

• Configuration used: defaults
• Review profile: CHILL
• Plan: Advanced
• Run ID: 203b47bd-cbf4-4f1d-833c-ee1d6c682d08

• Autopilot · Keep fixing CodeRabbit findings and required CI, and resolving merge conflicts

---

Thanks for using CodeRabbit! It's free for OSS, and your support helps us grow. If you like it, consider giving us a shout-out.

❤️ Share

• X
• Mastodon
• Reddit
• LinkedIn

_{Comment @coderabbitai help to get the list of available commands.}