deps: retirer les suppressions quick-xml de .cargo/audit.toml une fois plist/tauri passe a quick-xml >= 0.41 #312

New issue

Closed

opened 2026-07-27 23:40:42 +00:00 by maximus · 1 comment

maximus commented

2026-07-27 23:40:42 +00:00

Owner

Declencheur de retrait pour deux entrees de .cargo/audit.toml, posees par #310.

quick-xml 0.38.4 porte RUSTSEC-2026-0194 et RUSTSEC-2026-0195 (7.5 high chacune). Elles sont supprimees de l'audit parce que le crate n'est compile sur aucune cible livree : il est tire par plist, dont tauri ne depend que pour le bundling Apple.

cargo tree -i quick-xml --target x86_64-pc-windows-msvc   -> vide
cargo tree -i quick-xml --target x86_64-unknown-linux-gnu -> vide
cargo tree -i quick-xml --target x86_64-apple-darwin      -> quick-xml <- plist <- tauri

Un override n'est pas disponible non plus : les deux advisories ne sont corrigees qu'en >= 0.41.0, alors que plist exige ^0.38 — une frontiere semver-incompatible que [patch.crates-io] ne peut pas franchir.

Condition de fermeture

plist (ou tauri) publie une version qui tire quick-xml >= 0.41.0. A ce moment :

cargo update -p quick-xml (ou le bump tauri qui l'entraine).
Retirer RUSTSEC-2026-0194 et RUSTSEC-2026-0195 de .cargo/audit.toml, ainsi que quick-xml de la liste du garde-fou dans .forgejo/workflows/check-rust.yml.
Verifier que cargo audit --file src-tauri/Cargo.lock reste a 0.

Pourquoi cette issue existe

Une liste de suppressions sans declencheur de retrait finit par survivre a sa justification : l'audit resterait vert alors que les advisories seraient devenues atteignables. Le garde-fou de check-rust.yml couvre le cas mecaniquement (il echoue si quick-xml entre dans un arbre livre), cette issue couvre le cas inverse — la suppression devenue inutile, que rien ne signale.

Voir ADR 0018.

Declencheur de retrait pour deux entrees de `.cargo/audit.toml`, posees par #310. `quick-xml` 0.38.4 porte RUSTSEC-2026-0194 et RUSTSEC-2026-0195 (7.5 high chacune). Elles sont supprimees de l'audit parce que le crate **n'est compile sur aucune cible livree** : il est tire par `plist`, dont `tauri` ne depend que pour le bundling Apple. ``` cargo tree -i quick-xml --target x86_64-pc-windows-msvc -> vide cargo tree -i quick-xml --target x86_64-unknown-linux-gnu -> vide cargo tree -i quick-xml --target x86_64-apple-darwin -> quick-xml <- plist <- tauri ``` Un override n'est pas disponible non plus : les deux advisories ne sont corrigees qu'en `>= 0.41.0`, alors que `plist` exige `^0.38` — une frontiere semver-incompatible que `[patch.crates-io]` ne peut pas franchir. ## Condition de fermeture `plist` (ou `tauri`) publie une version qui tire `quick-xml >= 0.41.0`. A ce moment : 1. `cargo update -p quick-xml` (ou le bump `tauri` qui l'entraine). 2. Retirer `RUSTSEC-2026-0194` et `RUSTSEC-2026-0195` de `.cargo/audit.toml`, ainsi que `quick-xml` de la liste du garde-fou dans `.forgejo/workflows/check-rust.yml`. 3. Verifier que `cargo audit --file src-tauri/Cargo.lock` reste a 0. ## Pourquoi cette issue existe Une liste de suppressions sans declencheur de retrait finit par survivre a sa justification : l'audit resterait vert alors que les advisories seraient devenues atteignables. Le garde-fou de `check-rust.yml` couvre le cas mecaniquement (il echoue si `quick-xml` entre dans un arbre livre), cette issue couvre le cas inverse — la suppression devenue inutile, que rien ne signale. Voir [ADR 0018](docs/adr/0018-suppression-advisories-non-atteignables.md).

maximus added the

status:ready

type:infra

source:analyste

labels 2026-07-27 23:40:42 +00:00

maximus referenced this issue

2026-07-27 23:46:11 +00:00

fix(deps): clear 6 reachable RustSec advisories, accept 3 unreachable ones #316

maximus commented

2026-07-28 01:05:13 +00:00

Author

Owner

Correction : le declencheur a deja saute. Le corps de cette issue supposait qu'il fallait attendre un bump amont — je ne l'avais pas verifie au moment de l'ecrire.

plist 1.10.0 est publie et tire quick-xml 0.41.0, exactement la version corrigee, dans la borne actuelle de tauri :

$ cargo update --dry-run -p plist
    Updating plist v1.8.0 -> v1.10.0
    Updating quick-xml v0.38.4 -> v0.41.0

Aucune modification de Cargo.toml requise. Les deux suppressions RUSTSEC-2026-0194 / -0195 peuvent donc sortir de .cargo/audit.toml maintenant, et quick-xml de la liste du garde-fou dans check-rust.yml.

Traitee avec #313 dans une PR commune : les deux sont des cargo update sur le meme Cargo.lock, les separer creerait deux conflits de lock pour rien.

**Correction : le declencheur a deja saute.** Le corps de cette issue supposait qu'il fallait attendre un bump amont — je ne l'avais pas verifie au moment de l'ecrire. `plist` **1.10.0** est publie et tire `quick-xml` **0.41.0**, exactement la version corrigee, dans la borne actuelle de `tauri` : ``` $ cargo update --dry-run -p plist Updating plist v1.8.0 -> v1.10.0 Updating quick-xml v0.38.4 -> v0.41.0 ``` Aucune modification de `Cargo.toml` requise. Les deux suppressions `RUSTSEC-2026-0194` / `-0195` peuvent donc sortir de `.cargo/audit.toml` maintenant, et `quick-xml` de la liste du garde-fou dans `check-rust.yml`. Traitee avec #313 dans une PR commune : les deux sont des `cargo update` sur le meme `Cargo.lock`, les separer creerait deux conflits de lock pour rien.

maximus referenced this issue

2026-07-28 01:29:38 +00:00

deps: declencheur de retrait pour la suppression rsa (RUSTSEC-2023-0071) dans .cargo/audit.toml #319

maximus referenced this issue

2026-07-28 01:29:38 +00:00

bug: les utilisateurs installes en .rpm ne peuvent pas se mettre a jour (latest.json ne sert que le .deb) #320

maximus referenced this issue from a commit

2026-07-28 01:31:02 +00:00

fix(deps): resolve the quick-xml advisories, unyank deep-link and spin

maximus referenced this issue from a pull request that will close it,

2026-07-28 01:31:54 +00:00

fix(deps): resolve the quick-xml advisories, unyank deep-link and spin #321