Bump @apidevtools/json-schema-ref-parser from 11.7.3 to 15.3.5

[dependabot]

Bumps @apidevtools/json-schema-ref-parser from 11.7.3 to 15.3.5.

Release notes

Sourced from @​apidevtools/json-schema-ref-parser's releases.

v15.3.5

15.3.5 (2026-03-30)

Bug Fixes

• edge: fix some edge cases and add more tests (df7967e)

v15.3.4

15.3.4 (2026-03-27)

Reverts

• Revert "fix: support 2020-12 anchors and ref siblings" (f26d8c7)

v15.3.3

15.3.3 (2026-03-26)

Bug Fixes

• support 2020-12 anchors and ref siblings (f3f7e35), closes #145 #419

v15.3.2

15.3.2 (2026-03-23)

Bug Fixes

• ref: pass original ref (889e69e)

v15.3.1

15.3.1 (2026-02-28)

Bug Fixes

• resolve multiple open issues (#349, #355, #392) and add regression tests (#415) (6e19cd9), closes #384 #403

v15.3.0

15.3.0 (2026-02-28)

Bug Fixes

• resolve ESLint errors (#410) (0fd077b)
• resolve multiple dereference and bundle issues (#338, #370, #395) (#409) (cd9737c)

... (truncated)

Commits

• fddef8a versions and tests
• ecea9d5 test
• c81b48f normalize path
• df7967e fix(edge): fix some edge cases and add more tests
• f249657 only test on lts and current
• ba43eb8 chore(deps): deps bump
• f26d8c7 Revert "fix: support 2020-12 anchors and ref siblings"
• f3f7e35 fix: support 2020-12 anchors and ref siblings
• c355f09 fix tests
• 889e69e fix(ref): pass original ref
• Additional commits viewable in compare view

Maintainer changes

This version was pushed to npm by GitHub Actions, a new releaser for @​apidevtools/json-schema-ref-parser since your current version.

Note
Automatic rebases have been disabled on this pull request as it has been open for over 30 days.

[yokotaso]

📦 ライブラリ更新レビュー: @apidevtools/json-schema-ref-parser 11.7.3 → 15.3.5

結論（先に）

機能的にはマージしても安全です。 このライブラリは pkgs/typed-api-spec/package.json の dependencies に宣言されているものの、リポジトリ内のどのソースコードからも import されていません（後述）。そのため v12〜v15 の breaking change はいずれも本リポジトリの実行時には影響しません。

一方で、これは「休眠中の依存」であることを意味します。bump する以外に 「依存ごと削除する」 という選択肢も検討に値します（#153 で予定していたOpenAPIの $ref 解決用途を今後も使う予定なら残す）。判断はメンテナにお任せします。

---

1. ライブラリの概要

@apidevtools/json-schema-ref-parser は、JSON Schema / OpenAPI 定義の中の $ref（JSON Reference）を解決するためのライブラリです。主なAPIは以下:

• dereference() — $ref を実際のオブジェクトに展開（インライン化）する
• bundle() — 外部ファイルへの $ref を1ファイルにまとめる
• resolve() / parse() — スキーマの読み込みと参照解決

OpenAPIスキーマの $ref を展開する用途で広く使われます。

参照: https://github.com/APIDevTools/json-schema-ref-parser

2. バージョン情報

	バージョン	リリース日
変更前	11.7.3	2024-12-05
変更後（本PR）	15.3.5	2026-03-30
npm latest	15.3.6	2026-06-11

• メジャーバージョンの更新あり: 11 → 15 と、4メジャーバージョンを跨ぐ大きな更新です（v12: 2025-04-11 / v13: 2025-06-03 / v14: 2025-06-16 / v15: 2025-11-11）。
• パッケージ名・organizationの変更はありません（@apidevtools/json-schema-ref-parser のまま）。
• 本PRは最新ではありません: latest は 15.3.6（本PR作成日2026-06-15より前の2026-06-11公開）。dependabotが拾えなかった理由は深追いしていませんが、マージ後にもう1パッチ分の更新PRが来る見込みです。

3. 変更スコープの確認

lock file差分で追加されたパッケージ:

パッケージ	バージョン	種別
@apidevtools/json-schema-ref-parser	11.7.3 → 15.3.5	更新対象本体
js-yaml	4.2.0（新規ネストコピー）	v15で本体の依存に追加された
argparse	^2.0.1	新規ではない。js-yaml の依存として参照されるが、既存の hoisted node_modules/argparse で解決されるためノード追加なし

• v11では本体の依存に js-yaml はありませんでしたが、v15では dependencies: { js-yaml: ^4.1.1 } が追加されています（diffで js-yaml@4.2.0 が pkgs/typed-api-spec/node_modules 配下に追加）。
• js-yaml 自体はリポジトリ内で他経由でも既に使われており（lockfile内15箇所）、新規導入というより本体配下へのネストコピーです。
• 更新対象との関係が不明なパッケージの混入はありません。

4. ライブラリの依存関係

• このライブラリが依存するもの（v15.3.5）: js-yaml ^4.1.1（→ argparse）。peerDependency として @types/json-schema ^7.0.15。
  • v11時点では js-yaml への依存はありませんでした（v15で追加）。
• このライブラリに依存しているもの: pkgs/typed-api-spec（dependencies）のみ。リポジトリ内で他に依存しているパッケージはありません。

5. ライブラリの使用箇所とバージョン情報

リポジトリ全体を git grep / 全文検索した結果、参照箇所は以下のみ:

ファイル	内容
pkgs/typed-api-spec/package.json:125	dependencies への宣言（本PRで変更）
package-lock.json	lock file エントリ

• ソースコード（.ts / .js / .mjs）からの import / require は0件。apidevtools / ref-parser / RefParser / dereference いずれも pkgs/typed-api-spec/src/ 配下にヒットしませんでした。
• git履歴を確認したところ、この依存は Support OpenAPI #153「Support OpenAPI」で追加されましたが、追加以降一度もソースに import された形跡がありません（git log -S "ref-parser" -- '*.ts' が0件）。OpenAPIの $ref 解決用に追加されたものの未配線、という状態です。
• Node.jsバージョンを固定する .nvmrc / .node-version は存在しません。CIの setup-node ステップにも node-version 指定はなく、publish.yaml のみ node-version: '24' を指定しています。

6. 変更内容の要約（v12〜v15 の breaking change）

変更前後の間に含まれる全メジャーバージョンの breaking change:

• v12.0.0 (2025-04-11): 循環スキーマでの無限ループを防ぐため dereference のキャッシュ挙動を変更（BREAKING）。 fix(BREAKING CHANGE): dereference caching to prevent infinite loops on circular schemas APIDevTools/json-schema-ref-parser#380
• v13.0.0 (2025-06-03): エラー処理ライブラリ ono への依存を削除。ono のスタックトレースに依存していた場合に影響（BREAKING）。
• v14.0.0 (2025-06-16): SSRF脆弱性の修正。デフォルトのHTTPリゾルバが内部/プライベートホスト名へリクエストすることを禁止（再有効化フラグあり）（BREAKING）。 APIDevTools/json-schema-ref-parser@0a06a78
• v15.0.0 (2025-11-11):
  • ESM-only 出力に移行（package.json に "type": "module"）。
  • URLエンコーディングを厳格な RFC 6901 準拠に変更（$ 等の不要なエンコードを廃止、~→~0 / /→~1 のみ）（BREAKING）。
  • 新オプション mergeKeys（dereference時のキーマージ、デフォルト true）を追加。
  • Respect RFC 6901, use ESM output, add new mergeKeys dereference option. APIDevTools/json-schema-ref-parser#398
• v15.3.x はバグ修正中心（2020-12 anchors対応とそのrevert、edge case修正など）。

⚠️ 上記はいずれもこのライブラリのAPIに関する変更です。本リポジトリは当該APIを一切呼び出していないため、実行時の影響はありません。

7. コード・設定の更新

7-1. APIや仕様変更に伴うコード修正

不要です。 ライブラリが未使用のため、API変更（dereferenceキャッシュ・RFC 6901・SSRF修正・ESM化）に伴うコード修正は発生しません。

7-2. バージョン整合性の確認

本PRで変わるバージョン番号は npm依存の ^11.7.3 → ^15.3.5 のみです。ランタイム/Dockerイメージの変更ではありません。整合性確認の結果:

• v15.3.5 は engines: { node: ">=20" } を要求します。
• リポジトリ内の Node.js 指定: pkgs/docs が engines: node >=18.0、publish.yaml が node-version: '24'、その他のCIはバージョン無指定。
• ただし pkgs/docs や ルートは typed-api-spec に依存していません（grep typed-api-spec pkgs/docs/package.json 等が0件）。そのため node>=20 要求が内部の他パッケージへ波及することはなく、整合性の問題は発生しません。
• npm の engines は既定では警告であり、未使用のため実害もありません。

→ 同時に更新すべき箇所はありません。

8. 興味深い更新

• v14 はセキュリティ修正（SSRF対策）: デフォルトHTTPリゾルバが内部ホスト名へアクセスするのを禁止。$ref を外部URL解決に使うライブラリならではの実用的な防御です。本リポジトリでは未使用のため恩恵も実害もありませんが、設計の参考になります。
• v15でESM-only化: モダンなツールチェインへの移行。ただし下記の通りCJS consumerには注意が必要です。
• リリースが GitHub Actions の自動publishに移行している（メンテナ変更の注記あり）。

9. 過去の失敗の調査

• このライブラリに関する過去のPR/issueを検索した結果、close（revert含む）された事例はありませんでした（該当PRは本PR Bump @apidevtools/json-schema-ref-parser from 11.7.3 to 15.3.5 #189 のみ、関連issueなし）。

---

⚠️ レビュー上の注意点（将来このライブラリを使う場合）

ESM-only の罠: v15 は ESM-only です。一方 typed-api-spec は CJS/ESM 両対応でビルドしており（exports に "require": "./dist/index.js" を持つ）、もし将来このライブラリをソースに普通の import/require で組み込むと、CJSビルドが壊れます。組み込む際は動的 import() を使う必要があります（src/core/openapi/openapi.ts が zod-openapi / @valibot/to-json-schema で既に採用している手法）。

推奨アクション

1. マージは安全（未使用のため breaking change の実害なし）。マージするなら、ほどなく 15.3.6 への追従PRが来る点に留意。
2. もしくは 依存ごと削除を検討（Support OpenAPI #153 のOpenAPI $ref 解決を今後使う予定がなければ）。
3. security ラベルについて: v14にSSRF修正が含まれますが、本リポジトリでは未使用のため実際の脆弱性エクスポージャーはなし。「使っていれば該当した」レベルのため、付与は見送りが妥当と考えますが、判断はメンテナにお任せします。

[dependabot]

A newer version of @​apidevtools/json-schema-ref-parser exists, but since this PR has been edited by someone other than Dependabot I haven't updated it. You'll get a PR for the updated version as normal once this PR is merged.