.yarnrc.yml

nodeLinker: node-modules
npmRegistryServer: 'https://registry.npmjs.org'
enableGlobalCache: true

# 依存パッケージの install / postinstall スクリプトを実行しない。
# サプライチェーン攻撃の主要経路（悪意ある postinstall による任意コード実行）を
# 塞ぐ。Yarn 4 では個別の allow-list ができないため全か無かの設定。
enableScripts: false

# `yarn add` でバージョンを固定する（`^` / `~` を付けない）。
# Renovate 側の `rangeStrategy: pin` と対になる設定で、片方だけだと手動追加と
# Renovate 更新でバージョン表記が混ざる。
defaultSemverRangePrefix: ''

# npm publish 後 7 日経過していないパッケージを依存解決から除外する
# サプライチェーン保護。typosquatting や即時 takedown が走ったパッケージを
# 取り込まないためのセーフティガード。
#
# 自社パッケージ（@d-zero/*）の publish 直後に取り込みたい場合は、本設定を
# 一時的にコメントアウトして `yarn install` → `yarn.lock` 固定後に **必ず復元
# してコミットする**。復元忘れがあるとリポジトリ全体で保護が外れ続けるため、
# レビューでは `.yarnrc.yml` の差分に注目すること。
#
# Yarn 4 リファレンス: https://yarnpkg.com/configuration/yarnrc#npmMinimalAgeGate
npmMinimalAgeGate: 7d