#530 [deps] serde_yaml 0.9 を yaml_serde 0.10.7 へ移行し、RUSTSEC-2024-0449 の一時除外を外す

[Kewton]

概要

保守されていない YAML parser（serde_yaml 0.9 → unsafe-libyaml 0.2.11、RUSTSEC-2024-0449）を、YAML 組織が保守する yaml_serde 0.10.7（libyaml-rs 0.3.0）へ移します。依存名を serde_yaml のまま package rename で入れるので、src/ は変えていません。PR #663 で入れた一時的な advisory の除外を、この PR で外します。

Refs #530

変更（6 ファイル、+550 −28、1 commit）

• Cargo.toml：serde_yaml = { package = "yaml_serde", version = "0.10.7" }。依存名は serde_yaml のままです。
• Cargo.lock：差は次の 4 つだけです。
  • 削除：serde_yaml 0.9.34+deprecated、unsafe-libyaml 0.2.11
  • 追加：yaml_serde 0.10.7、libyaml-rs 0.3.0
  • cargo update で一緒に上がった windows-sys は戻しました。
• deny.toml：RUSTSEC-2024-0449 の一時除外とその説明を外し、ignore = [] にしました。ほかの監査の設定とライセンスの許可は変えていません。
• 試験：tests/issue530_yaml_migration.rs（新規、5 本）と corpus tests/corpus/apps/issue530-yaml-migration/（expectations.toml・fixtures/compatibility.json）。旧版で測った結果を期待値に記録し、公開 API で確かめます。
  • pack の受理と拒否（unknown field、duplicate key、tag、anchor/alias、merge、多文書、非文字列 key）
  • plan の診断の行・列、workflow の version の数値
  • scrub の型・要素数・key collision、サイズ・深さ・配列・スカラーの上限
• 旧 serde_yaml は dev-dependency にも残していません。既存の YAML fixture と証跡は変えていません。成長上限のファイルと baseline も変えていません。
• src/ の中の serde_yaml の参照は、base f1c42074 で 16 ファイル・140 行です。rename なので、どれも変更は要りません。

検証（HEAD b0b20197）

• 15 ゲート：commandmate verify で 15/15 passed でした（fmt、clippy、cargo test --all-targets、CI の形の ruff、tests/eval、npm ci などを含みます）。
• cargo deny check（除外なし）：exit 0。advisories・bans・licenses・sources の 4 つとも ok です。
• Linux の確認：cargo-zigbuild clippy --all-targets --target x86_64-unknown-linux-gnu は exit 0 でした。
• 二点測定
  • develop f1c42074 の deny.toml から除外だけを外すと、cargo deny check advisories が RUSTSEC-2024-0449 で落ちます（exit 1）。この PR の HEAD では、除外なしで通ります。
  • 互換の試験は、旧版（develop）の上でもすべて通ります（5 本、corpus の回帰 7 本）。旧版との差は 0 なので、これは想定どおりです。
  • そこで検出力を確かめました。旧版で測った期待値を 1 つずつ変えると、4 通りとも試験が落ちます（plan の診断の行番号、tag-rejected の受理、scrub の mapping の要素数、duplicate key の診断の列番号）。
• MSRV：本体の rust-version = "1.88" に対し、yaml_serde 0.10.7 の rust-version は 1.82 です。

確かめてほしい点

• 実際の Rust 1.88 での build と、gui feature での build は手元で流していません（15 ゲートは既定の feature で、toolchain は stable）。
• libyaml-rs は、archived の unsafe-libyaml を YAML 組織が引き継いだ unsafe Rust の fork です。safe Rust の parser への置き換えではありません（Issue 本文の「移行先と理由」のとおりです）。

🤖 Generated with Claude Code