test(packaging): SqlClient のメジャー版を EF Core の宣言に追随させる

[izumacha]

Context

コードレビューで開いていた Dependabot PR #178（Microsoft.Data.SqlClient 5.1.7 → 7.0.2）を見送り、代わりに同種の変更を機械的に止める検出網を入れる。

何が問題だったか

Microsoft.Data.SqlClient は Microsoft.EntityFrameworkCore.SqlServer が内部で使う ADO.NET ドライバの実体で、プロバイダが動作保証するのは自身が宣言したメジャー版に対してだけ（現在の宣言は 5.1.6）。#178 はこれを 2 メジャー先の 7.0.2 へ単独で上げるものだった。

ところがこのドライバは名前に EntityFrameworkCore / EFCore を含まないため、dependabot.yml の nuget-ef-core グループ（EF Core 本体とプロバイダ実装を major も含めて 1 本の PR に束ねる設定）に入らない。結果、まさにそのグループが防いでいる版ズレが、ドライバの層でだけすり抜けていた。

壊れ方も同じ — このリポジトリのテストは InMemory / SQLite しか触らないので、ドライバだけを別メジャーへ上げてもビルドも全テストも緑のまま通り、SQL Server 配備でだけ実行時に壊れる。CLAUDE.md が EF Core 系について「一部だけ上げてもビルドもテストも通るため、PostgreSQL 配備でだけ実行時に壊れる」と書いているのとまったく同じ無言の破壊で、違うのは壊れる層だけ。

副次的な問題として #178 は実際に CI も赤だった（tests/ 側の packages.lock.json が更新されず dotnet restore --locked-mode が NU1004）。また解決される System.Memory が 4.5.4 → 4.5.3 と下がり、csproj のコメント（「EF Core 側の 5.1.6 要求とは互換で」）も事実と食い違う状態になっていた。

変更内容

• .github/dependabot.yml — nuget エコシステムに ignore を追加し、Microsoft.Data.SqlClient の major だけを保留。同じメジャー内の minor / patch は csproj が意図している「セキュリティ更新を後退させない床値」を上げる更新なので止めない（update-types を省くと全更新の無視になり、その経路まで塞がる）。

• EfCorePackageAlignmentTests — 検査を 2 つ追加。

  • SqlClientPin_StaysWithinEfCoreDeclaredMajor — 解決版と EF Core 宣言版のメジャー一致、および床値の後退（同メジャー内で下げる変更はメジャー検査を素通りするため別途固定）
  • DependabotConfig_HoldsSqlClientMajorUpdates — 保留の消失と効きすぎ（update-types の欠落 / versions の追加 / 重複エントリ。Dependabot は同じ依存の複数エントリをすべて適用する）

  期待値はテストに書かず、packages.lock.json の dependencies から EF Core の宣言を読む。 書き写すと EF Core を上げたとき 2 か所を直す必要が生まれ、直し忘れた側が静かに古い前提を主張し続けるため（§6 の唯一の真実の源）。おかげで EF Core を上げれば検査が自動で追随する。

• ReadNuGetGroups から ReadNuGetEcosystemEntry を切り出し — 以前はエコシステムのエントリを捨てて groups: だけを返していたため、同じエントリ直下の ignore: へ辿るには同じ YAML をもう一度解析する必要があった（§6 DRY）。挙動は変えていない。

• csproj / CLAUDE.md — メジャーを合わせる理由と、この検出網の担当範囲を明記。

ドライバのメジャーを上げたいときは、それを宣言する版の Microsoft.EntityFrameworkCore.SqlServer へ同じ変更セットで上げる（ignore は残したままでよい）。

検証

• dotnet restore --locked-mode（CI と同じ。chore(deps): Bump Microsoft.Data.SqlClient from 5.1.7 to 7.0.2 #178 が落ちていた当のコマンド）— clean
• dotnet test — 460 件すべて green（既存 458 + 新規 2）

検出網が実際に効くことをミューテーションで確認済み。

破壊	結果
解決版を 7.0.2 に（= PR #178 相当）	✅ 落ちる
床値を 5.1.5 へ後退（宣言は 5.1.6）	✅ 落ちる
ignore ブロックの削除	✅ 落ちる
update-types の欠落（全更新の無視）	✅ 落ちる
ignore に重複エントリ	✅ 落ちる

---

Generated by Claude Code

[vercel]

The latest updates on your projects. Learn more about Vercel for GitHub.

Project	Deployment	Actions	Updated (UTC)
incident-insight	Error		Aug 24, 2026 12:29am
incident-insight-jjt5	Error		Aug 24, 2026 12:29am