From 8e954a3f5f8c9e82aaa300dc51164d7ea66f69b5 Mon Sep 17 00:00:00 2001
From: Citrons <909229731@qq.com>
Date: Tue, 18 Aug 2026 01:44:25 +0800
Subject: [PATCH] =?UTF-8?q?fix(GOV-012):=20=E6=8B=92=E7=BB=9D=20MariaDB=20?=
 =?UTF-8?q?=E4=BC=AA=E8=A3=85=E7=89=88=E6=9C=AC?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

---
 .../GOV-012-node-schema-exporter/gitnexus/impact-plan.md   | 6 ++++++
 tools/database/mysql2-schema-exporter.mjs                  | 3 ++-
 tools/database/mysql2-schema-exporter.test.mjs             | 7 ++++++-
 3 files changed, 14 insertions(+), 2 deletions(-)

diff --git a/docs/features/GOV-012-node-schema-exporter/gitnexus/impact-plan.md b/docs/features/GOV-012-node-schema-exporter/gitnexus/impact-plan.md
index 3d3adc4..4ce29bc 100644
--- a/docs/features/GOV-012-node-schema-exporter/gitnexus/impact-plan.md
+++ b/docs/features/GOV-012-node-schema-exporter/gitnexus/impact-plan.md
@@ -60,3 +60,9 @@
 - HTTP/OpenAPI、Web API、消息契约、Redis、API、Scheduler、Worker、部署：本 Task 仅新增 Node 治理工具安全基础，不接入运行时服务，均无同步代码修改；边界是后续 Task 将替换 Schema CLI 内部实现。
 - 数据库：不建立连接、不查询业务数据、不执行 DDL/DML/多语句/锁表；本 Task 仅固定未来连接选项和服务端元数据契约。
 - 测试、依赖和文档：新增 mysql2 根开发依赖、Node 单元测试和本影响记录；`pnpm audit --audit-level high` 是依赖安全门禁。
+
+### Task 1 依赖审计范围限定例外
+
+- 官方 registry 审计确认既有 Web 测试依赖链 `@vue/test-utils -> js-beautify -> glob` 存在一项 high；新增的 `mysql2@3.23.3` 不在该依赖路径中。
+- 用户于 2026-08-18 明确同意 GOV-012 使用范围限定例外继续：该既有风险作为单独治理欠项处理，本功能不得擅自升级前端测试依赖，也不得把该例外解释为 `mysql2` 安全审计通过之外的通用放行。
+- GOV-012 发布前的代码 Review 和开发规范 Review 必须继续披露该残余风险；若后续审计发现 `mysql2`、Schema 导出链路或生产依赖新增 high/critical，则本例外不适用并立即阻断。
diff --git a/tools/database/mysql2-schema-exporter.mjs b/tools/database/mysql2-schema-exporter.mjs
index 2fb7ed4..7aa9b62 100644
--- a/tools/database/mysql2-schema-exporter.mjs
+++ b/tools/database/mysql2-schema-exporter.mjs
@@ -62,7 +62,8 @@ export function quoteIdentifier(identifier) {
  * `SHOW CREATE` 文本在不兼容语义下被误认为可恢复的 Schema 快照。
  */
 export function assertMysql57ServerMetadata(metadata) {
-  if (!/^5\.7\.\d+(?:[-+].*)?$/.test(metadata?.serverVersion ?? '')) {
+  const serverVersion = metadata?.serverVersion ?? '';
+  if (!/^5\.7\.\d+(?:[-+].*)?$/.test(serverVersion) || /mariadb/i.test(serverVersion)) {
     throw new SchemaExportError('UNSUPPORTED_SERVER_VERSION', 'MySQL 服务端必须为 5.7.x');
   }
   if (metadata.databaseCharset !== 'utf8mb4') {
diff --git a/tools/database/mysql2-schema-exporter.test.mjs b/tools/database/mysql2-schema-exporter.test.mjs
index 30ae478..836eecd 100644
--- a/tools/database/mysql2-schema-exporter.test.mjs
+++ b/tools/database/mysql2-schema-exporter.test.mjs
@@ -48,7 +48,12 @@ test('只接受 MySQL 5.7.x 与固定字符规则', () => {
     databaseCollation: 'utf8mb4_general_ci',
   };
   assert.doesNotThrow(() => assertMysql57ServerMetadata(valid));
-  for (const serverVersion of ['5.6.51', '8.0.40', '10.6.18-MariaDB']) {
+  for (const serverVersion of [
+    '5.6.51',
+    '8.0.40',
+    '5.7.42-MariaDB',
+    '10.6.18-MariaDB',
+  ]) {
     assert.throws(() => assertMysql57ServerMetadata({ ...valid, serverVersion }));
   }
 });