feat: @antfu/ni をグローバルパッケージに追加し ni エイリアスを設定

.devcontainer/Dockerfile

@@ -1,8 +1,8 @@
 FROM mcr.microsoft.com/devcontainers/base:2.0-ubuntu-24.04
 
 # Build arguments
 ARG CLAUDE_CODE_OAUTH_TOKEN
 ARG ANTHROPIC_API_KEY
 ARG IMAGE_VERSION="dev"
 
 # OCI Image Labels for version tracking
@@ -66,7 +66,7 @@
  && rm node-${NODE_VERSION}-linux-${NODE_ARCH}.tar.xz \
  && ln -s /usr/local/bin/node /usr/local/bin/nodejs
 
-RUN npm install -g pnpm
+RUN npm install -g pnpm@10.30.3
 
 USER vscode
 ENV SHELL=/bin/bash

.npmrc

@@ -0,0 +1,16 @@
+# pnpm security settings
+# Strict peer dependency resolution - fail on conflicts
+strict-peer-dependencies=true
+
+# Auto-install missing peer dependencies
+auto-install-peers=true
+
+# Run security audit on install
+audit=true
+audit-level=moderate
+
+# Prevent phantom dependencies (packages hoisting to root node_modules)
+shamefully-hoist=false
+
+# Use content-addressable storage (pnpm default - integrity verification)
+verify-store-integrity=true

docs/setup/npm-library-cli.md

@@ -86,6 +86,53 @@ pnpm exec lint-staged
 - **ベースイメージ**: `ghcr.io/keito4/config-base:latest`
 - **冗長 Features の削除**: ベースイメージに含まれるもの（node, gh 等）は更新後に削除を検討
 
+## pnpm セキュリティ設定（supply chain attack 対策）
+
+pnpm を使用する場合は以下を必ず設定する。
+
+**`pnpm-workspace.yaml`**:
+
+```yaml
+# 公開から 2 日未満のパッケージをインストール禁止（pnpm v10.16.0+）
+minimumReleaseAge: 2880
+```
+
+**`.npmrc`**:
+
+```ini
+strict-peer-dependencies=true
+auto-install-peers=true
+audit=true
+audit-level=moderate
+shamefully-hoist=false
+verify-store-integrity=true
+```
+
+## ni（パッケージマネージャーコマンド統一）
+
+`@antfu/ni` はロックファイルを検出し、プロジェクトのパッケージマネージャーを自動判定してコマンドを実行するツール。npm / pnpm / yarn / bun どのプロジェクトでも同じコマンドが使える。
+
+```bash
+npm install -g @antfu/ni
+```
+
+| コマンド      | 相当する操作                            |
+| ------------- | --------------------------------------- |
+| `ni`          | 依存関係インストール                    |
+| `nr <script>` | スクリプト実行                          |
+| `nu`          | パッケージ更新                          |
+| `nun`         | パッケージ削除                          |
+| `nci`         | クリーンインストール（lockfile frozen） |
+
+**推奨エイリアス** (`~/.zshrc`):
+
+```zsh
+alias nrd="nr dev"
+alias nrb="nr build"
+alias nrs="nr start"
+alias nrp="nr preview"
+```
+
 ## 関連ドキュメント
 
 | ドキュメント                                          | 説明                              |

docs/setup/spa-react-vite.md

@@ -146,6 +146,53 @@ module.exports = {
 
 - **ベースイメージ**: `ghcr.io/keito4/config-base:latest`
 
+## pnpm セキュリティ設定（supply chain attack 対策）
+
+pnpm を使用する場合は以下を必ず設定する。
+
+**`pnpm-workspace.yaml`**:
+
+```yaml
+# 公開から 2 日未満のパッケージをインストール禁止（pnpm v10.16.0+）
+minimumReleaseAge: 2880
+```
+
+**`.npmrc`**:
+
+```ini
+strict-peer-dependencies=true
+auto-install-peers=true
+audit=true
+audit-level=moderate
+shamefully-hoist=false
+verify-store-integrity=true
+```
+
+## ni（パッケージマネージャーコマンド統一）
+
+`@antfu/ni` はロックファイルを検出し、プロジェクトのパッケージマネージャーを自動判定してコマンドを実行するツール。npm / pnpm / yarn / bun どのプロジェクトでも同じコマンドが使える。
+
+```bash
+npm install -g @antfu/ni
+```
+
+| コマンド      | 相当する操作                            |
+| ------------- | --------------------------------------- |
+| `ni`          | 依存関係インストール                    |
+| `nr <script>` | スクリプト実行                          |
+| `nu`          | パッケージ更新                          |
+| `nun`         | パッケージ削除                          |
+| `nci`         | クリーンインストール（lockfile frozen） |
+
+**推奨エイリアス** (`~/.zshrc`):
+
+```zsh
+alias nrd="nr dev"
+alias nrb="nr build"
+alias nrs="nr start"
+alias nrp="nr preview"
+```
+
 ## 関連ドキュメント
 
 | ドキュメント                                          | 説明                                  |

docs/setup/web-app-nextjs.md

@@ -647,6 +647,69 @@ export default function RootLayout({ children }: { children: React.ReactNode })
 - 例外・エラーは Sentry に `captureException` してアラートを受け取る
 - `console.log` の本番利用は禁止 → Biome の `noConsole` ルールで CI がブロック
 
+## pnpm セキュリティ設定（supply chain attack 対策）
+
+pnpm v10.16.0+ のネイティブ機能で、公開直後の悪意あるパッケージのインストールを防ぐ。
+
+### pnpm-workspace.yaml
+
+プロジェクトルートに配置する。**pnpm を使用するすべてのプロジェクトで必須設定**。
+
+```yaml
+# supply chain attack 対策: 公開から 2 日未満のパッケージをインストール禁止
+# pnpm v10.16.0+ でサポート（単位: 分）
+minimumReleaseAge: 2880
+
+# 信頼できるパッケージを除外する場合（例: 公式パッケージで更新頻度が高いもの）
+minimumReleaseAgeExclude: []
+```
+
+> **動作**: `pnpm add` や `pnpm update` で依存解決する際に適用。
+> `pnpm-lock.yaml` が存在する `pnpm install` では環境再現性優先のためスキップされる。
+
+### .npmrc（pnpm セキュリティ強化）
+
+```ini
+# Strict peer dependency resolution
+strict-peer-dependencies=true
+auto-install-peers=true
+
+# インストール時に脆弱性チェック
+audit=true
+audit-level=moderate
+
+# Phantom dependencies の排除
+shamefully-hoist=false
+
+# コンテンツハッシュで改ざん検知
+verify-store-integrity=true
+```
+
+## ni（パッケージマネージャーコマンド統一）
+
+`@antfu/ni` はロックファイルを検出し、プロジェクトのパッケージマネージャーを自動判定してコマンドを実行するツール。npm / pnpm / yarn / bun どのプロジェクトでも同じコマンドが使える。
+
+```bash
+npm install -g @antfu/ni
+```
+
+| コマンド      | 相当する操作                            |
+| ------------- | --------------------------------------- |
+| `ni`          | 依存関係インストール                    |
+| `nr <script>` | スクリプト実行                          |
+| `nu`          | パッケージ更新                          |
+| `nun`         | パッケージ削除                          |
+| `nci`         | クリーンインストール（lockfile frozen） |
+
+**推奨エイリアス** (`~/.zshrc`):
+
+```zsh
+alias nrd="nr dev"
+alias nrb="nr build"
+alias nrs="nr start"
+alias nrp="nr preview"
+```
+
 ## 関連ドキュメント
 
 | ドキュメント                                          | 説明                                  |

dot/.zshrc

@@ -123,7 +123,13 @@ case ":$PATH:" in
   *":$PNPM_HOME:"*) ;;
   *) export PATH="$PNPM_HOME:$PATH" ;;
 esac
-# pnpm end# Added by Windsurf
+# pnpm end
+
+# ni - package manager command unifier (@antfu/ni)
+alias nrd="nr dev"
+alias nrb="nr build"
+alias nrs="nr start"
+alias nrp="nr preview"# Added by Windsurf
 export PATH="$HOME/.codeium/windsurf/bin:$PATH"
 
 ### MANAGED BY RANCHER DESKTOP START (DO NOT EDIT)

dot/.zshrc.devcontainer

@@ -86,4 +86,10 @@ setopt COMPLETE_IN_WORD
 setopt NO_BEEP
 
 # Set default editor
-export EDITOR='vim'
+export EDITOR='vim'
+
+# ni - package manager command unifier (@antfu/ni)
+alias nrd="nr dev"
+alias nrb="nr build"
+alias nrs="nr start"
+alias nrp="nr preview"

npm/global.json

@@ -53,6 +53,10 @@
       "version": "0.34.6",
       "overridden": false
     },
+    "@antfu/ni": {
+      "version": "28.2.0",
+      "overridden": false
+    },
     "difit": {
       "version": "3.1.12",
       "overridden": false

pnpm-workspace.yaml

@@ -0,0 +1,10 @@
+# pnpm workspace configuration
+# https://pnpm.io/pnpm-workspace_yaml
+
+# supply chain attack 対策: 公開から 2 日未満のパッケージをインストール禁止
+# pnpm v10.16.0+ でサポート
+# 単位: 分（2880 = 2 days）
+minimumReleaseAge: 2880
+
+# 除外パッケージ（公式・信頼できるリリースサイクルが速いもの）
+minimumReleaseAgeExclude: []