Add automated Rust dependency advisory checks
Les mainteneurs répondent en général sous 1 jour
Personne n'a encore pris cette issue.
Évaluation
- Difficulté
- 4/5
- Temps estimé
- 3-5 jours
- Accessibilité débutants
- 52/100
Piste de recherche
Commencez par examiner la configuration existante des workflows du dépôt ainsi que les deux fichiers Cargo.lock : Cargo.lock et ci/rust_http_server/Cargo.lock. Comparez cargo audit, cargo deny et les mécanismes de mise à jour suggérés avec les périmètres des dépendances de release et de test. La tâche est terminée lorsque les pull requests et les vérifications planifiées couvrent les deux lockfiles, et que les exceptions documentées incluent une justification, un responsable et une date d’expiration ou de réexamen.
Rédigé par le modèle d'indexation à partir du texte de l'issue.
Description
Context
The Rust host is statically linked into every produced application and includes networking, TLS, terminal, randomness, and bundled SQLite dependencies. The repository pins exact dependency versions and commits Cargo.lock, but no workflow currently runs cargo audit, cargo deny, or an equivalent RustSec advisory check.
Because the resulting code is embedded into released binaries, users do not receive fixes unless basic-cli updates and rebuilds its host.
RustSec advisory database:
https://rustsec.org/advisories/
Suggested direction
Add automated dependency monitoring with:
- a pull-request advisory check;
- a scheduled workflow so newly published advisories are detected without a code change;
- Dependabot/Renovate or another deliberate update mechanism;
- a documented, time-bounded exception format for advisories that do not affect enabled features or reachable code.
Consider scanning both the main Cargo.lock and ci/rust_http_server/Cargo.lock, while clearly distinguishing release dependencies from test-only dependencies.
Acceptance criteria
- Pull requests fail on applicable unacknowledged vulnerabilities.
- A scheduled job checks for new advisories.
- Both lockfiles are covered with release/test scope clearly reported.
- Advisory exceptions require rationale, owner, and expiry/review date.
- Dependency update ownership and release rebuild expectations are documented.
- Langage dominant
- Rust
- Étoiles
- 121
- Forks
- 46
- Merge moyen
- 12 h 20 min
- PR mergées (30 j)
- 18
Préparer son environnement
- Aucun Dockerfile ni fichier Docker Compose
- Aucun modèle de pull request
- Lire le guide de contribution
Par où commencer
- Lisez l'issue en entier, puis le guide de contribution du projet.
- Signalez en commentaire que vous la prenez — cela évite que deux personnes fassent le même travail.
- Forkez le dépôt et travaillez sur une branche.
- Ouvrez une pull request qui référence le numéro de l'issue.
Autres issues de roc-lang/basic-cli
-
Unix socket supportOuverte
Difficulté 3/5 1-2 jours Accessibilité débutants 45/100
Les mainteneurs répondent en général sous 1 jour
-
Difficulté 5/5 Plus d'une semaine Accessibilité débutants 25/100
roc-lang/basic-cli#482 · 1 commentaire ·
Les mainteneurs répondent en général sous 1 jour
-
Difficulté 4/5 3-5 jours Accessibilité débutants 45/100
Les mainteneurs répondent en général sous 1 jour
-
enhancement
Difficulté 5/5 Plus d'une semaine Accessibilité débutants 45/100
roc-lang/basic-cli#455 · 1 commentaire ·
Les mainteneurs répondent en général sous 1 jour
-
Difficulté 5/5 Plus d'une semaine Accessibilité débutants 32/100
Les mainteneurs répondent en général sous 1 jour
Toutes les issues de roc-lang/basic-cli
Issues similaires
-
Difficulté 2/5 1-3 heures Accessibilité débutants 62/100
extendr/extendr.github.io#134 ·
-
test(mixture): pin that gn / gn_hybrid are refused on a [mixture] model, whatever maxiter isOuverte
Difficulté 2/5 1-3 heures Accessibilité débutants 62/100
Les mainteneurs répondent en général sous 1 jour
-
enhancement
Difficulté 2/5 1-3 heures Accessibilité débutants 78/100
bgreenwell/xleak#90 · 1 réaction ·
-
Difficulté 2/5 1-3 heures Accessibilité débutants 76/100
cloudflare/boring#530 ·
-
Difficulté 2/5 1-3 heures Accessibilité débutants 65/100
project-robius/robrix#1154 ·
Les mainteneurs répondent en général sous 1 jour