v1.1.1

2026-10-18リリース

Vercel版のデプロイに使う道具の中にあった、2つの脆弱性を直しました。自分のリポジトリから自動でデプロイするときの流れも変え、Vercel版も自動でデプロイできるようにしました。

脆弱性の直し

VercelのCLIの中で使われるjs-yamlとsmol-tomlを、直った版にしました。

パッケージ	脆弱性	重さ
js-yaml	GHSA-2883-xcg3-v3hh	高
smol-toml	GHSA-r4xh-jqrq-34v2	中

どちらも、このリポジトリからVercelのCLIでデプロイするときにだけ使われます。動いている部屋のサーバーとSkyWay版のトークン発行の働きは変わりません。

自動でデプロイする流れ

自分のリポジトリから自動でデプロイしている人に向けた変更です（→ 自分のリポジトリから自動でデプロイする）。

• デプロイは、リリースが出たときだけ、そのタグの中身で行います。文書や依存の更新だけを入れても、デプロイしません。
• リポジトリにSecretRELEASE_TOKENが無いとき（ふつうのフォーク）は、リリースを作らずに、これまでどおりmainへのpushのたびにデプロイします。
• Vercel版も、同じ流れで自動でデプロイできるようにしました。VercelのGitの連携は使わず、ActionsからVercelのCLIで送ります。
• Secretなどの値を変えたあとは、Deployのワークフローを手で起動して、デプロイし直します。デプロイし直すアプリ（Cloudflare版かVercel版か）を選べます。

手順の直し

Cloudflare版を初めて置くときの手順に、Analytics Engineを使い始める段階を足しました（→ Cloudflareに置く）。部屋のサーバーは、部屋の記録をAnalytics Engineに書きます。アカウントで使い始めていないと、初めてのデプロイが「You need to enable Analytics Engine」で止まります。

この版にするとき

部屋のサーバー、SkyWay版のトークン発行、PHP版の働きは、v1.1.0と同じです。Axeは、v1.1.0のときのまま使えます。

自動でデプロイしている人は、リリースが出たときだけデプロイされるようになります。値を変えたあとに「Re-run all jobs」でデプロイし直すやりかたは、使えなくなりました。代わりに、Deployのワークフローを手で起動します（→ 値を変えたとき）。

---

開発者向けのくわしい変更は、GitHub ReleasesとCHANGELOGを参照してください。