lockfileのみの更新

AutoFix は、依存関係を更新するために必要な最小限の変更のみを行います。これは、以下のパッケージマネージャーで適用可能な場合、ロックファイルのみの更新を行うことを意味します:

• NPM

• Yarn

• PNPM

• Bun

• Poetry

• UV

以下の例では NPM を使用していますが、同じロジックは上記で言及した他のパッケージマネージャーにも適用されます。

～への更新 package.json は、ほとんどのシナリオでは必要ですが、推移的依存関係については、親の依存関係が修正版を含むバージョン範囲でその推移的依存関係を含んでいる場合は必要ありません。

例えば、あなたのプロジェクトには axios 1.15.0 が含まれています:

package.json

{
	"dependencies": {
		"axios": "1.15.0"
	}
}

Axios 自体は次に依存しています: follow-redirects :

package.json（axios）

{
    "dependencies": {
    "follow-redirects": "^1.15.11",
    "form-data": "^4.0.5",
    "proxy-from-env": "^2.1.0"
  }
}

依存関係をインストールした時点での最新バージョンが follow-redirects だった場合、 1.15.11 、ロックファイルは follow-redirects バージョン 1.15.11 、このバージョンには CVE-2026-40895.

この CVE はバージョン 1.16.0 の follow-redirectsで修正されています。follow-redirects は 含まれていません package.json には含まれていませんが、axios はバージョン 1.16.0 をバージョンセレクターで定義されたとおりに許可しています ^1.15.11。つまり、クリーンな npm install を実行したときと同じように、package.json を変更せずに lockfile で問題を修正できます。

この場合、AutoFix は lockfile のみを更新し、package.json には変更を加えません。

新規インストールで元に戻りますか?

いいえ。axios がバージョン範囲を ^1.15.11 と指定しているため、npm/yarn/pnpm/bun は自動的に最新のマイナーバージョンを選択し、それは 1.16.0 本稿執筆時点では

同じ動作は Poetry と UV にも適用されます。