spec(deps): decide version alignment policy for @modelcontextprotocol/sdk

[liplus-lin-lay]

目的

@modelcontextprotocol/sdk のバージョン指定方針を決める。現状は committed lockfile だけが型エラーを押さえており、レンジ指定は守っていない。

前提

#225 / #226 で agents を 0.19.0 に上げた結果、SDK は tree 全体で 1.29.0 の単一コピーになり、src/mcp.ts の @ts-expect-error が不要になって削除された。ただしこの単一化はレンジの一致による保証ではなく、偶然の一致である。

• package.json の指定 = "@modelcontextprotocol/sdk": "^1.0.0"
• agents@0.19.0 の指定 = "@modelcontextprotocol/sdk": "1.29.0"（厳密指定）
• @modelcontextprotocol/sdk@1.30.0 は 2026-07-27 に公開済み

したがって lock を再生成、または npm update を実行した時点で、トップレベルが 1.30.0、agents/ 配下に 1.29.0 がネストされ、二重コピーによる McpServer 型不一致が src/mcp.ts に復活する。

現在踏み止まっている唯一の理由は committed lockfile。

検討する選択肢

1. トップレベルを agents の指定に合わせて厳密 pin する（姉妹リポジトリ github-webhook-mcp の worker が採っている方式。ただし向こうは 1.26.0 で pin 理由も同型）
2. overrides で単一コピーを強制する（@cloudflare/workers-types と同じ手法。既に overrides ブロックは存在する）
3. 現状維持とし、lock の再生成時に tsc が落ちることを検出手段として受け入れる

制約

• src/mcp.ts のコメントには「抑止（suppression）を再追加するのではなくバージョンを整合させて直せ」と記録済み。本 issue はその整合方針を決める場
• ステートレス移行（spec: MCP 2026-07-28 migration plan - single-lane flip, no dual-lane fallback #224）で SDK が v2 系の別パッケージに移ると、この問題は消滅する。よって本方針の寿命は spec: MCP 2026-07-28 migration plan - single-lane flip, no dual-lane fallback #224 までの暫定
• 姉妹リポジトリ Liplus-Project/github-webhook-mcp と方式を揃えるかどうかも判断対象

対象ファイル

• package.json — dependencies / overrides
• package-lock.json

関連

• chore(deps): bump agents to 0.19.0, the last beta-free line #225 / chore(deps): bump agents to 0.19.0, the last beta-free line [deps, mcp] #226 — 発見の経緯
• spec: MCP 2026-07-28 migration plan - single-lane flip, no dual-lane fallback #224 — 本問題が消滅する到達点

[liplus-lin-lay]

本 issue の前提が消滅したため close する。

#224 / #229 のステートレス移行により、package.json から @modelcontextprotocol/sdk のレンジ宣言そのものが削除された。Worker は SDK v1 を import しなくなり、agents@0.20.1 が必須 peer として exactly 1.30.0 を要求する形に一本化されている。

本 issue が扱っていた問題——ルートの ^1.0.0 と agents 側の exact pin が偶然一致しているだけで、lock 再生成時に二重コピーが復活する——は、比較すべきレンジが片方消えたことで成立しなくなった。

本 issue 自身が制約に「ステートレス移行で SDK が v2 系の別パッケージに移ると、この問題は消滅する。よって本方針の寿命は #224 まで」と記載しており、その到達点に達したもの。

なお #229 では担当が node_modules と package-lock.json を削除した上で npm install を再実行し、lock 再生成の経路を実際に通した上で @cloudflare/workers-types の pin が保持されることを確認している。本 issue が懸念していた再生成パスは実測で通過済み。

姉妹リポジトリ github-webhook-mcp が採った exact pin の解（#251）は、あちらが SDK v1 のままであるため引き続き有効。