GitHub security workshop: Add dependency risk and remediation workflow

オープン

#276 2026年9月14日に作成コメント 1 件リアクション 0 件担当者 0 名 GitHub で見る

まだ誰も着手していません。

評価

難易度: 4/5
見積もり時間: 3〜5日
初心者へのやさしさ: 52/100

issue の種類: ドキュメント
明瞭さ: おおむね明確
活発さ: 活発
技術スタック: github, github-actions, python
領域: devops, documentation, security

調査の方向性

まず、既存の workshop 構成と issue #237 を確認して、repository 全体に関わる Dependabot の設定作業を理解し、重複を避けます。lab で分離された dependency fixture または maintainer が選択した advisory をどのように使用するかを定義し、タイミングおよび fix がないシナリオ向けのフォールバックデータも含めます。ドキュメント化された演習で、alert の発見、リスクレビュー、remediation のテスト、安全なマージ、解決の検証、および一覧にある workflow のトピックを扱っていれば完了です。

索引モデルが issue の本文から書いたものです。

説明

priority: P3

Goal

Teach learners to identify, prioritize, and remediate vulnerable dependencies using the dependency graph, Dependabot alerts, security updates, and pull-request checks.

Scope

Use a deterministic and isolated dependency fixture or a maintainer-selected advisory rather than permanently weakening the application dependencies. Cover direct versus transitive dependencies, advisory and severity information, compatibility review, update PRs, and post-merge verification.

Acceptance criteria

Learners enable or verify the dependency graph, Dependabot alerts, and security updates.
The lab produces a predictable dependency alert without leaving an intentionally vulnerable package on the default branch.
Learners identify whether the package is direct or transitive and review the advisory, affected range, patched version, and severity.
Learners review or create a remediation pull request and run the project tests against the update.
The alert is verified as resolved after the safe version is merged.
The exercise discusses grouped updates, compatibility risk, dismissals, and remediation ownership.
Timing and no-fix-available scenarios have documented fallback data.
The content coordinates with #237 rather than duplicating its repository-wide Dependabot configuration work.

主要言語: Python
スター: 80
フォーク: 161
平均マージ: 31分
マージ済み PR（30日）: 1