Feature request: Add support to report the versions to the dependency graph API
Los mantenedores suelen responder en 1 día
Nadie ha tomado este issue todavía.
Evaluación
- Dificultad
- 4/5
- Tiempo estimado
- 3-5 días
- Aptitud para principiantes
- 48/100
Línea de trabajo
Empieza revisando el flujo existente de envío automático de dependencias y la generación del lockfile; después compara la implementación enlazada de actions-dependency-submission. Rastrea cómo se acotan los floating tags, branches y SHAs, y cómo llegan las versiones a la dependency graph API. El trabajo estará terminado cuando las dependencias resueltas a partir de un lockfile existente o efímero se envíen con versiones reales, para que funcione la generación de informes de vulnerabilidades.
Escrito por el modelo de indexación a partir del texto del issue.
Descripción
Right now security vulnerability reporting is broken when a workflow uses a floating tag, branch or sha.
The lock file is a perfect source for the dependency graph to record the dependencies.
The built-in narrowing could also report the actual versions so that de vulnerability reporting works.
I currently have an action that implements this based on parsing the workflows directly:
https://github.com/jessehouwing/actions-dependency-submission
It would be awesome if the "automatic dependency submission" would actually use the existing lock file or generate a ephemeral lockfile.
- Lenguaje dominante
- Go
- Estrellas
- 253
- Forks
- 15
- Merge medio
- 19 h 30 min
- PR fusionados (30 d)
- 60
Preparar el entorno
- Sin Dockerfile ni archivo de Docker Compose
- Sin plantilla de pull request
- Leer la guía de contribución
Primeros pasos
- Lee el issue completo y luego la guía de contribución del proyecto.
- Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
- Haz un fork del repositorio y trabaja en una rama.
- Abre un pull request que haga referencia al número del issue.
Más de github/gh-actions-lock
-
Fix mode unpins a reusable workflow call when the same repository is also used as a step actionAbierto
Dificultad 2/5 1-3 horas Aptitud para principiantes 72/100
github/gh-actions-lock#261 ·
Los mantenedores suelen responder en 1 día
-
Dependabot drops an unchanged transitive dependency when bumping a composite actionPosiblemente ocupada Un pull request vinculado a esta issue está abierto o ya se fusionó. Abierto
Dificultad 4/5 3-5 días Aptitud para principiantes 30/100
github/gh-actions-lock#257 · 1 comentario ·
Los mantenedores suelen responder en 1 día
-
--migrate-local-actions rewrites action files in nested worktrees and submodulesPosiblemente ocupada @aksestok la tomó hace 1 día. Abierto
Dificultad 3/5 1-2 días Aptitud para principiantes 20/100
github/gh-actions-lock#253 ·
Los mantenedores suelen responder en 1 día
-
Dificultad 3/5 1-2 días Aptitud para principiantes 52/100
github/gh-actions-lock#252 ·
Los mantenedores suelen responder en 1 día
-
Dificultad 5/5 Más de una semana Aptitud para principiantes 35/100
github/gh-actions-lock#247 · 1 comentario ·
Los mantenedores suelen responder en 1 día
Todos los issues de github/gh-actions-lock
Issues similares
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 84/100
hyperledger/fabric-x-orderer#1409 ·
Los mantenedores suelen responder en 3 días
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
Los mantenedores suelen responder en 1 día
-
needs-area
Dificultad 2/5 1-3 horas Aptitud para principiantes 68/100
Azure/typespec-azure#5936 ·
Los mantenedores suelen responder en 1 día
-
Dificultad 1/5 Menos de una hora Aptitud para principiantes 70/100
-
bug documentation
Dificultad 2/5 1-3 horas Aptitud para principiantes 72/100
labmonkeys-space/nl6#974 ·
Los mantenedores suelen responder en 1 día