PR-Review #555: OpenTelemetry-Teilbump auf 1.20.1 bricht OpenTelemetryVersionParityTests, dazu fremde OTel-Referenzen in Test-Projekten #560

PR: #555 · Autor: @dependabot[bot] · Status: open

• mittel (CI rot / Versions-Invariante) — Directory.Packages.props, OpenTelemetry-Block: Der NuGet-Sammel-PR (Nachfolger des geschlossenen Bump the nuget-minor-patch group with 14 updates #547, Fund dort: PR-Review #547: OpenTelemetry-Teilbump auf 1.20 bricht OpenTelemetryVersionParityTests #549) hebt die stabilen OTel-Pakete und die Instrumentation-Pakete AspNetCore/Http/Runtime auf 1.20.1. OpenTelemetry.Exporter.Prometheus.AspNetCore (1.19.1-beta.1), OpenTelemetry.Instrumentation.Process (1.19.0-rc.1) und OpenTelemetry.Instrumentation.EntityFrameworkCore (1.19.1-beta.1) bleiben auf 1.19. „Backend build + tests“ schlägt deshalb in zwei Tests fehl: OpenTelemetryVersionParityTests.OpenTelemetryPackages_ShareOneMajorMinorRelease (Prometheus 1.19 ≠ Core 1.20) und PrometheusExporter_MatchesTheCoreVersionExactly (1.19.1 ≠ 1.20.1).
  Vorschlag: wie in PR-Review #547: OpenTelemetry-Teilbump auf 1.20 bricht OpenTelemetryVersionParityTests #549: die drei Prerelease-Pakete im selben Schritt auf ihre 1.20-Gegenstücke heben, sofern es sie gibt, oder die stabilen OTel-Pakete in .github/dependabot.yml per ignore/eigener Gruppe festhalten, bis alle Prereleases nachziehen. Solange das nicht passiert, blockiert der rote OTel-Teil auch die übrigen 13 Updates der Gruppe (u. a. PowerShell SDK 7.6.7, Quartz 4.6.0).
• mittel (Abhängigkeitshygiene) — tests/NodePilot.Ai.Tests/NodePilot.Ai.Tests.csproj, tests/NodePilot.Cli.Tests/NodePilot.Cli.Tests.csproj, tests/NodePilot.Mcp.Tests/NodePilot.Mcp.Tests.csproj: Dependabot fügt in allen drei Projekten direkte PackageReferences auf OpenTelemetry, OpenTelemetry.Exporter.OpenTelemetryProtocol, OpenTelemetry.Extensions.Hosting und OpenTelemetry.Instrumentation.AspNetCore hinzu. Keins dieser Testprojekte nutzt OTel direkt. Cli und Mcp sind laut Dep-Graph reine HTTP-Clients (Cli -> Core, Mcp -> Core), Ai hängt nur an Core. Das ist Dependabots Weg, transitive Versionen anzuheben. Es zieht ASP.NET-Core-Instrumentation in Client-Testprojekte und bleibt nach dem Merge als stille Abhängigkeit liegen.
  Vorschlag: Die vier Zeilen in den drei csproj nicht übernehmen. Wenn ein transitiver OTel-Pin nötig ist, gehört er zentral in Directory.Packages.props (bzw. über CentralPackageTransitivePinningEnabled) und nicht als Direktreferenz in Testprojekte.

Automatischer Review-Fund des täglichen PR-Review-Laufs, braucht Triage.