chore(security): reconcile the hand-maintained advisory ignore lists in deny.toml and .cargo/audit.toml

オープン
  • 何か問題がありますか？
#464 コメント 0 件 リアクション 0 件 担当者 0 名 GitHub で見る

メンテナーはふだん 1 日以内に返信

まだ誰も着手していません。

評価

難易度
4/5
見積もり時間
3〜5日
初心者へのやさしさ
44/100
issue の種類
リファクタリング
明瞭さ
おおむね明確
活発さ
活発
技術スタック
rust
領域
build-system, security

調査の方向性

Read .cargo/audit.toml, deny.toml, and security.yml to understand the advisory lists and feature coverage; the issue compares them at commit d9c7be0. Decide whether to document the difference or align the lists, and whether cargo deny should check the non-default TLS features. Done means the lists' relationship and the TEMP marker are resolved, with advisories tracked in both files when #340 or #386 land.

索引モデルが issue の本文から書いたものです。

説明

dependencies

Problem

Accepted RustSec advisories are listed twice, by hand, with different contents and different levels of explanation:

  • .cargo/audit.toml ignores 15 advisories, most with a detailed reachability note.
  • deny.toml [advisories].ignore lists 7, with one-line comments.

In audit.toml but not in deny.toml:

  • RUSTSEC-2023-0071 (rsa, via embedded-tls)
  • RUSTSEC-2026-0387 (crypto-bigint, via embedded-tls — tracked in #340)
  • RUSTSEC-2026-0049, -0098, -0099, -0104, -0382 (rustls-webpki 0.102.8, via rumqttc)

Part of this difference is probably intentional: security.yml notes that cargo deny check sees default features only, so crates behind non-default features never reach it, while cargo audit reads the whole lockfile. But nothing in either file says so, so a reader cannot tell an intended difference from an omission. It also means cargo deny is not checking the embedded-tls / rumqttc-TLS graphs at all.

Smaller points:

  • deny.toml still tags RUSTSEC-2026-0173 as TEMP:; the same entry in audit.toml has no such marker.
  • Each entry has to be added and later removed in two places; #340 and #386 name only one of the two files.

Suggested work

  • Add a short comment at the top of each list stating why the two differ (feature coverage), or make them the same.
  • Decide whether cargo deny should also run with the non-default TLS features, the way it already does for the zenoh connector's std graph.
  • Drop or justify the TEMP marker.
  • When #340 / #386 land, remove the entries from both files.

Notes

Compared by reading the two files at d9c7be0. I did not run cargo audit or cargo deny, so I cannot say whether any listed ignore is already unnecessary.

主要言語
Rust
スター
101
フォーク
20
平均マージ
2時間 33分
マージ済み PR（30日）
90

環境構築

Codespaces で開く

このプロジェクトの開発コンテナを、あなたの GitHub アカウントでブラウザ上に起動します。

はじめの一歩

  1. issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
  2. 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
  3. リポジトリをフォークし、ブランチを切って変更します。
  4. issue 番号を参照したプルリクエストを送ります。

aimdb-dev/aimdb のほかの issue

aimdb-dev/aimdb の issue をすべて見る

似ている issue

Rust の issue をもっと見る

新しい issue をメールで受け取る

初心者向けの GitHub issue を短くまとめたダイジェスト。