ci: run cargo-deny advisories on a weekly schedule

Cerrado Apto para principiantes
  • ¿Algo no está bien?
#1,815 0 comentarios 0 reacciones 0 asignados Ver en GitHub

Los mantenedores suelen responder en 1 día

Nadie ha tomado este issue todavía.

Evaluación

Dificultad
2/5
Tiempo estimado
1-3 horas
Aptitud para principiantes
85/100
Tipo de issue
Nueva funcionalidad
Claridad
Bien especificado
Estado de actividad
Activo
Stack tecnológico
github-actions, rust
Área
ci-cd, security

Línea de trabajo

Lee .github/workflows/ci.yml y el job cargo-deny existente; después, revisa las convenciones de acciones fijadas y tiempos de espera en .github/workflows/deny-advisories.yml. Añade el workflow programado y manual con la comprobación solicitada solo de advisories y ejecuta make actionlint. La tarea estará terminada cuando actionlint pase y el nuevo workflow ejecute la comprobación de advisories según lo programado y mediante activación manual.

Escrito por el modelo de indexación a partir del texto del issue.

Descripción

github_actions security

Summary

The deny job in .github/workflows/ci.yml runs cargo-deny check advisories bans licenses sources on push and pull request only. An advisory published between pushes therefore surfaces only through Dependabot or the Scorecard job. Dependabot covers GHSA-listed advisories; RUSTSEC unsound and unmaintained entries — the class deny.toml's unsound = "all" was added for after RUSTSEC-2026-0306 slipped through — have no Dependabot path at all, so a quiet week on main leaves them invisible until the next unrelated push.

Plan

A new .github/workflows/deny-advisories.yml, not a schedule: trigger on ci.yml (which would run the whole 20-job matrix weekly):

  • schedule: cron '0 7 * * 1' (Mondays 07:00 UTC, off the quarterly 1st/8th/15th/22nd out-of-band slots) plus workflow_dispatch.
  • Top-level permissions: contents: read.
  • actions/checkout SHA-pinned with persist-credentials: false, timeout-minutes.
  • The same digest-pinned EmbarkStudios/cargo-deny-action, command: check advisories only — yanked = "deny" is an [advisories] setting, so yanks are covered; bans, licences and sources do not age.
  • Goes red; no auto-filed issue (that needs issues: write and dedupe logic for a one-line check — the Actions tab is the signal).

The schedule runs on the default branch, so it takes effect after merge. make actionlint before commit.

Lenguaje dominante
Rust
Estrellas
32
Forks
3
Merge medio
1 d 1 h
PR fusionados (30 d)
104

Preparar el entorno

Primeros pasos

  1. Lee el issue completo y luego la guía de contribución del proyecto.
  2. Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
  3. Haz un fork del repositorio y trabaja en una rama.
  4. Abre un pull request que haga referencia al número del issue.

Más de dekobon/big-code-analysis

Todos los issues de dekobon/big-code-analysis

Issues similares

Más issues de Rust

Recibe los nuevos issues en tu correo

Un resumen breve de issues de GitHub para principiantes.