Introduce Dependency Review workflow

[masutaka]

概要

GitHub Advanced Security (GHAS) の Dependency Review を reusable workflow として提供します。

• 機能
  • 脆弱性のあるパッケージを検知したら、ジョブが失敗する
• 感想
  • CodeQL のように何分もかからない様子
    • 簡単な npm パッケージ 1 つの package(-lock).json の時は、13s で完了した
    • on: pull_request のトリガーで良さそうだし、PR マージ前の必須ジョブにも出来る
  • 薄いラッパーのような reusable workflow だけど、バージョンアップや timeout を考えなくてよいのはメリットだと思う

動作確認

• 脆弱性のあるパッケージが見つからなかったので、ジョブが成功した
  • https://github.com/masutaka/sandbox/actions/runs/11123475643
• 脆弱性のあるパッケージが見つかったので、ジョブが失敗した
  • https://github.com/masutaka/sandbox/actions/runs/11123460955

参考

• 依存関係の確認について - GitHub Docs
• https://github.com/actions/dependency-review-action
  • 簡単なライセンスチェックも出来るみたい

[TomckySan]

なるほど、、！

[MH4GF]

ありがとうございます！

[MH4GF]

📝 いくつかオプションがありそうですが、必要な利用者が出てきた時にinputsを追加すればよさそう

https://docs.github.com/ja/code-security/supply-chain-security/understanding-your-software-supply-chain/configuring-dependency-review#%E4%BE%9D%E5%AD%98%E9%96%A2%E4%BF%82%E3%83%AC%E3%83%93%E3%83%A5%E3%83%BC-%E3%82%A2%E3%82%AF%E3%82%B7%E3%83%A7%E3%83%B3-%E3%81%AE%E6%A7%8B%E6%88%90%E3%81%AB%E3%81%A4%E3%81%84%E3%81%A6

[masutaka]

レビューありがとうございました！
v2.5.0 のリリースを進めます。