Merge pull request #111 from TechFides/chore/keep-playwright-versions-aligned

fix(deps): keep playwright and @playwright/test on one version

Author: filipkoukal

docs/TESTING.md

@@ -41,6 +41,8 @@ Run:
 
 Config: `playwright.config.ts`. Global setup is in `tests/smoke/global-setup.ts` (builds `dist/` and prepares fixtures).
 
+`@playwright/test` (devDependency) and `playwright` (runtime dependency, used by `export-pdf`) must resolve to the same version, because `@playwright/test@X` depends on `playwright@X` exactly. Both therefore carry a caret range, and `renovate.json` exempts `@playwright/test` from the exact pin devDependencies normally get. Pin it and the next lock refresh floats `playwright` ahead of it, pnpm keeps two Playwright copies and every spec fails to collect with "two different versions of @playwright/test".
+
 Every sandbox installs this package from the tarball `pnpm pack` produced, via `setup --source=file --file-path=<tgz>`. Never let a sandbox resolve `@techfides/tf-doc-vault` from npm: on a `chore(release)` commit the version in `package.json` is not published yet, so the install fails. pnpm resolves every spec already in a manifest before it applies an `add`, so swapping the dependency after scaffolding does not help; the wizard has to write the tarball path in the first place.
 
 ## `middleware.ts`'s Basic auth

package.json

@@ -127,7 +127,7 @@
   "devDependencies": {
     "@commitlint/cli": "21.2.2",
     "@commitlint/config-conventional": "21.2.2",
-    "@playwright/test": "1.62.1",
+    "@playwright/test": "^1.62.1",
     "@types/markdown-it-container": "4.0.0",
     "@types/node": "25.9.5",
     "@typescript-eslint/eslint-plugin": "8.67.0",

pnpm-lock.yaml

@@ -15,6 +15,17 @@
       "description": "Auto-merge low-risk updates once CI is green. Major updates stay manual for human review.",
       "matchUpdateTypes": ["minor", "patch", "digest", "pin", "bump"],
       "automerge": true
+    },
+    {
+      "description": "@playwright/test keeps a range instead of the exact pin config:best-practices gives devDependencies. It must resolve to the same version as the runtime `playwright` dependency, which is a caret range: @playwright/test@X depends on playwright@X exactly, so an exact pin falls behind whenever lock file maintenance floats `playwright` forward, pnpm then keeps two Playwright copies and every smoke spec fails with \"two different versions of @playwright/test\".",
+      "matchPackageNames": ["@playwright/test"],
+      "rangeStrategy": "replace"
+    },
+    {
+      "description": "Major Playwright updates land in one PR. Merging one of the two packages without the other recreates the duplicate-version failure above; non-major updates already travel together via group:allNonMajor.",
+      "matchPackageNames": ["playwright", "@playwright/test"],
+      "matchUpdateTypes": ["major"],
+      "groupName": "playwright"
     }
   ],
   "lockFileMaintenance": {

renovate.json

@@ -0,0 +1,62 @@
+# Playwright: udržet obě závislosti na stejné verzi
+
+**Cíl:** obnova locku (Renovate `lockFileMaintenance`) už nikdy nesmí rozejít
+verze `playwright` a `@playwright/test`. Rozjezd shodí celý smoke tier.
+
+## Mechanismus poruchy
+
+`package.json` deklaruje Playwright dvakrát a s jinou strategií:
+
+- `dependencies.playwright: "^1.59.1"`: runtime závislost publikovaného balíčku,
+  používá ji `src/scripts/export-pdf.ts`. Rozsah je pro knihovnu správný, protože
+  konzumenti si mají verzi dedupovat sami.
+- `devDependencies["@playwright/test"]`: Renovate ji přes `config:best-practices`
+  (a v něm `:pinDevDependencies`) drží připíchnutou na přesné verzi.
+
+`@playwright/test@X` závisí na `playwright@X` přesně. Obnova locku sahá jen na
+lock, ne na `package.json`: `playwright` proto vyplave na nejnovější 1.x, zatímco
+připíchnutý `@playwright/test` zůstane, kde byl. pnpm pak drží dvě kopie
+Playwrightu a runner odmítne posbírat testy s hlášením
+`two different versions of @playwright/test`.
+
+Takhle padl PR #40 (lock file maintenance): lock vyplaval `playwright` na 1.62.1
+proti připíchnutému `@playwright/test` 1.60.0. Merge PR #39 to vyřešil jen shodou
+okolností, protože zvedl pin na 1.62.1. Příští obnova locku by chybu vyrobila
+znovu.
+
+## Zvažované varianty
+
+| varianta                                                          | zabrání rozjezdu při obnově locku? | poznámka                                                                                      |
+| ----------------------------------------------------------------- | ---------------------------------- | --------------------------------------------------------------------------------------------- |
+| seskupit obě závislosti do jednoho PR                             | ne                                 | obnova locku rozsahy obnovuje bez ohledu na seskupení; pomůže jen u běžných update PR         |
+| `@playwright/test` na rozsah `^`, výjimka z pinování devDeps      | **ano**                            | obě závislosti pak plavou na stejnou nejnovější 1.x, protože Playwright je vydává v lockstepu |
+| `pnpm.overrides` vynucující `playwright` podle `@playwright/test` | ano                                | funguje, ale přidává další mechanismus a musí se držet v synchronu; těžší než potřeba         |
+| připíchnout runtime `playwright` přesně                           | ano                                | pro publikovanou knihovnu nevhodné: svazuje verzi konzumentům                                 |
+| nechat být a opravovat ručně                                      | ne                                 | opakuje se každou obnovu locku, tedy potenciálně každý týden                                  |
+
+## Zvolené řešení
+
+1. `package.json`: `@playwright/test` z `1.62.1` na `^1.62.1`.
+2. `renovate.json`: packageRule s `rangeStrategy: "replace"` pro
+   `@playwright/test`, aby ho `:pinDevDependencies` nepřipíchlo zpátky. Popis
+   pravidla nese důvod, protože jinak to vypadá jako odchylka od konvence repa.
+3. `renovate.json`: druhé pravidlo seskupuje `playwright` a `@playwright/test`
+   pro **major** update do jednoho PR. Non-major už drží pohromadě
+   `group:allNonMajor`; u majoru by ale sloučení jednoho bez druhého rozjezd
+   vyrobilo znovu.
+4. `docs/TESTING.md`: odstavec u smoke tieru, aby někdo pin nevrátil zpátky.
+
+Lock se přegeneruje `pnpm install` (mění se jen specifikátor u importera).
+
+## Ověření
+
+- `pnpm ls playwright @playwright/test` ukáže jedinou verzi obou.
+- Simulace obnovy locku (smazat `pnpm-lock.yaml`, `pnpm install`) skončí opět
+  s jedinou verzí, což je vlastní test opravy.
+- `pnpm test:smoke` projde.
+
+## Mimo rozsah
+
+Zbytek `renovate.json` se nemění. Redundantní `security:minimumReleaseAgeNpm`
+a vlastní blok `lockFileMaintenance` (obojí už přichází z
+`config:best-practices`) zůstávají, jak jsou; je to samostatné téma.