[eai04191]

issue

関連: #94（npmのEALLOWREMOTEによる依存更新の停止）

変更内容

• root・infraのlockfileをpnpmへ変換し、PM指定をdevEngines.packageManagerへ統一
• Node.jsをdevEngines.runtimeの24.x・downloadで管理し、Lambda・ビルド・実行テストも同じ定義を参照
• CIの環境構築をpnpm/setupへ統合
• Renovate設定をJSON5へ移し、Node.jsの24.xを完全固定へ変えない例外を追加

確認したこと

• npmで発生するaws-cdk-lib更新時のEALLOWREMOTEが、pnpmのlockfile更新では発生しない
• 最新mainのlockfileから変換後、固定lockfileでのインストール・静的チェック・root/infraの型チェック・36件のテスト・CDK synthが成功
• CI用とCDK生成の両成果物が、Lambda Node.js 24のRIE上で署名付きSlackリクエストへ正常応答
• Renovate本体で設定を検証し、24系内の更新では24.xを維持、次のメジャーでは26.xへ変更することを確認。pnpm・通常依存の完全固定とメジャー更新の自動マージ禁止も維持
• Codexレビュー実施

スクリーンショット

対象外（UI変更なし）

補足事項

GitHub Actionsの実行結果はPRのチェックを参照。本番デプロイは未実施。

PR時のセルフチェック

• 関数や変数の命名は一目で分かるものになってますか？
• コメントは適切な量で、誰が見ても分かるコメントになってますか？
• PR内容に関するテストは書きましたか？（永続的なテスト追加はなし。既存テスト・RIEと、一時スクリプトによる設定の正常系／異常系・Renovate更新挙動の検証を実施）
• PR内容に付随する各種ドキュメントは一緒に修正しましたか？（ユーザー指定によりREADMEへの追記は行わない）
• IssueをCloseする場合、完了の定義は満たせていますか？（Close対象なし）

[chatgpt-codex-connector]

Codex Review Summary: ✅ Completed

This comment shows the latest Codex review activity on this pull request.

Review	Status	Commit	Review trigger
📝 Code Review	✅ Completed 2026-11-10T12:59:05.654645Z	7f81924	PR opened
🔒 Security Review	✅ Completed 2026-11-10T13:00:30.584471Z	7f81924	PR opened

ℹ️ About Codex in GitHub

Your team has set up Codex to review pull requests in this repo. Reviews are triggered when you

• Open a pull request for review
• Mark a draft as ready
• Comment "@codex review" or "@codex security review".

Codex reacts with 👀 while any review is running, comments if it has suggestions, and reacts with 👍 once all reviews finish with no findings.

[Copilot]

🟡 Changes recommended

4つのCIワークフローでルート依存関係をインストールしておらず、valibot・Biome・TypeScript・esbuildなどを解決できないため、synth、check、deploy、Lambdaビルドが失敗します。

4 open issues

• CDK synth 前にルート依存関係が未インストール · New
• 検査・テスト前にルート依存関係が未インストール · New
• CDK deploy 前にルート依存関係が未インストール · New
• Lambda ビルド前にルート依存関係が未インストール · New

3 files not reviewed

• infra/package-lock.json: Generated file
• infra/pnpm-lock.yaml: Generated file
• pnpm-lock.yaml: Generated file

What changed in this PR

pnpm と devEngines を中心に、依存関係管理、Node.js バージョン、Lambda、CDK、CI/CD、Renovate の設定を統一する移行です。

Changes:

• root と infra の npm lockfile を pnpm lockfile へ移行し、パッケージマネージャー設定を devEngines に統一
• Node.js 24.x の定義を Lambda のビルド、CDK、RIE テストで共有
• GitHub Actions の依存関係セットアップと Renovate 設定を pnpm／JSON5 対応へ更新

File	Description
tsconfig.json	JSON モジュールの読み込みを有効化しました。
scripts/​node-version.ts	devEngines.runtime から Node.js のメジャーバージョンを取得する処理を追加しました。
scripts/​build-lambda.ts	共有された Node.js バージョンを使って Lambda をバンドルする処理に変更しました。
pnpm-workspace.yaml	pnpm のリリース待機、完全固定、依存パッケージのビルド許可を設定しました。
pnpm-lock.yaml	root プロジェクトの依存関係を pnpm lockfile で固定しました。
package.json	Lambda ビルド用スクリプトと pnpm／Node.js の devEngines 設定を追加しました。
infra/​pnpm-workspace.yaml	infra 向けの pnpm 設定を追加しました。
infra/​pnpm-lock.yaml	infra プロジェクトの依存関係を pnpm lockfile で固定しました。
infra/​package.json	infra のパッケージマネージャーを devEngines で指定しました。
infra/​package-lock.json	旧 npm lockfile を削除しました。
infra/​lib/​times-all-bot-stack.ts	共有された Node.js 定義から Lambda ランタイムを決定し、pnpm lockfile を参照するよう変更しました。
.npmrc	旧 npm 設定を削除しました。
.github/​workflows/​_reusable_lambda_rie_test.yml	pnpm セットアップと共有 Node.js バージョンを使用する Lambda RIE テストへ変更しました。
.github/​workflows/​_reusable_deploy.yml	pnpm ベースの依存関係セットアップと CDK デプロイへ変更しました。
.github/​workflows/​_reusable_check.yml	静的チェック、テスト、型チェックを pnpm ベースで実行するよう変更しました。
.github/​workflows/​_reusable_cdk_synth.yml	CDK synth を pnpm ベースで実行するよう変更しました。
.github/​renovate.json5	Renovate 設定を JSON5 へ移行し、Node.js 24.x の範囲を維持する更新ルールを追加しました。
.github/​renovate.json	旧 JSON 形式の Renovate 設定を削除しました。

_{Review effort: Lite}