Feature request: Add support to report the versions to the dependency graph API
Maintainer thường phản hồi trong vòng 1 ngày
Chưa có ai nhận issue này.
Đánh giá
- Độ khó
- 4/5
- Thời gian dự kiến
- 3-5 ngày
- Mức phù hợp với người mới
- 48/100
Hướng nghiên cứu
Bắt đầu bằng việc xem xét luồng gửi dependency tự động hiện có và việc tạo lockfile, sau đó so sánh với implementation của actions-dependency-submission được liên kết. Theo dõi cách floating tags, branches và SHAs được thu hẹp, cũng như cách các phiên bản được truyền đến dependency graph API. Công việc được hoàn tất khi các dependency được phân giải từ một lockfile hiện có hoặc tạm thời được gửi kèm phiên bản thực tế, để việc báo cáo lỗ hổng bảo mật hoạt động.
Do mô hình lập chỉ mục viết ra từ nội dung của issue.
Mô tả
Right now security vulnerability reporting is broken when a workflow uses a floating tag, branch or sha.
The lock file is a perfect source for the dependency graph to record the dependencies.
The built-in narrowing could also report the actual versions so that de vulnerability reporting works.
I currently have an action that implements this based on parsing the workflows directly:
https://github.com/jessehouwing/actions-dependency-submission
It would be awesome if the "automatic dependency submission" would actually use the existing lock file or generate a ephemeral lockfile.
- Ngôn ngữ chính
- Go
- Star
- 253
- Fork
- 15
- Merge trung bình
- 19 giờ 30 phút
- Pull request đã merge (30 ngày)
- 60
Chuẩn bị môi trường
- Không có Dockerfile hay tệp Docker Compose
- Không có mẫu pull request
- Đọc hướng dẫn đóng góp
Bắt đầu từ đâu
- Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
- Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
- Fork repository và làm thay đổi trên một nhánh.
- Mở pull request có tham chiếu số hiệu của issue.
Issue khác của github/gh-actions-lock
-
Fix mode unpins a reusable workflow call when the same repository is also used as a step actionCó thể đã có người làm @suzuki-shunsuke đã nhận 1 ngày trước. Đang mở
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 72/100
github/gh-actions-lock#261 ·
Maintainer thường phản hồi trong vòng 1 ngày
-
Độ khó 4/5 3-5 ngày Mức phù hợp với người mới 30/100
github/gh-actions-lock#264 · 1 bình luận ·
Maintainer thường phản hồi trong vòng 1 ngày
-
Độ khó 3/5 Nửa ngày Mức phù hợp với người mới 42/100
github/gh-actions-lock#262 ·
Maintainer thường phản hồi trong vòng 1 ngày
-
Dependabot drops an unchanged transitive dependency when bumping a composite actionCó thể đã có người làm Có pull request liên kết đang mở hoặc đã được merge. Đang mở
Độ khó 4/5 3-5 ngày Mức phù hợp với người mới 30/100
github/gh-actions-lock#257 · 1 bình luận ·
Maintainer thường phản hồi trong vòng 1 ngày
-
--migrate-local-actions rewrites action files in nested worktrees and submodulesCó thể đã có người làm @aksestok đã nhận 2 ngày trước. Đang mở
Độ khó 3/5 1-2 ngày Mức phù hợp với người mới 20/100
github/gh-actions-lock#253 ·
Maintainer thường phản hồi trong vòng 1 ngày
Tất cả issue của github/gh-actions-lock
Issue tương tự
-
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 72/100
Azure/aztfexport#690 · 1 reaction ·
-
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 78/100
kubecost/ibm-finops-agent#289 ·
Maintainer thường phản hồi trong vòng 2 ngày
-
ai-driven-fuzzing bug Minor
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 78/100
linagora/cozy-stack#5162 ·
Maintainer thường phản hồi trong vòng 1 ngày
-
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 76/100
prometheus/prometheus-mcp#213 ·
Maintainer thường phản hồi trong vòng 3 ngày
-
Deleting a client-role keycloak_generic_role_mapper removes all roles of that client from the scope mappingCó thể đã có người làm @albarkauss đã nhận hôm nay. Đang mở
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 78/100
keycloak/terraform-provider-keycloak#1786 ·
Maintainer thường phản hồi trong vòng 5 ngày