Bundle includes apache-arrow code generation (new Function) since v4.38.3
維護者通常 1 天內回覆
還沒有人認領這個 Issue。
評估
- 難度
- 3/5
- 預估耗時
- 1-2 天
- 新手友好度
- 55/100
- Issue 類型
- 缺陷
- 描述清晰度
- 基本清楚
- 活躍度
- 活躍
- 技術堆疊
- github-actions, javascript, node.js, typescript
- 領域
- build-system, devops, security
研究方向
Start with build.mjs and inspect how lib/entry-points.js is bundled, then trace how @azure/storage-blob brings in apache-arrow through @actions/artifact and @actions/cache. Check whether the build can exclude apache-arrow or use a fixed release; done means the generated bundle no longer includes the reported createIsValidFunction code and the build still succeeds.
由索引模型根據 Issue 內容生成。
描述
Since v4.38.3, lib/entry-points.js includes apache-arrow's createIsValidFunction, which builds a predicate with new Function from runtime values. It comes in through @azure/storage-blob 12.34.0 (via @actions/artifact and @actions/cache), which lazily imports apache-arrow for its Arrow blob-list parser. v4.38.2 didn't include it; v4.39.0 still does.
Static analysis can't verify the generated function, so supply-chain auditing tools treat these releases as unverifiable. As far as I can tell nothing in the action lists blobs, so the parser is unreachable. The upstream fix is apache/arrow-js#501.
Would you consider excluding apache-arrow from the bundle in build.mjs, or overriding to the fixed apache-arrow once it's released?
- 主要語言
- TypeScript
- 星號
- 1.7k
- 分支
- 498
- 平均合併
- 1 天 17 小時
- 30 天內合併 PR
- 61
環境準備
- 沒有 Dockerfile 或 Docker Compose 檔案
- 有 Pull Request 範本
- 閱讀貢獻指南
從這裡開始
- 先讀完整個 Issue，再讀專案的貢獻指南。
- 在 Issue 下留言說明你要接手 —— 這能避免兩個人做同樣的事。
- Fork 儲存庫，在一個分支上完成修改。
- 送出 Pull Request，並在描述裡引用這個 Issue 編號。
github/codeql-action 的其他 Issue
-
難度 1/5 1 小時以內 新手友好度 90/100
github/codeql-action#4202 · 1 則留言 ·
維護者通常 1 天內回覆
-
難度 2/5 1-3 小時 新手友好度 68/100
github/codeql-action#4052 · 4 則留言 ·
維護者通常 1 天內回覆
-
難度 4/5 3-5 天 新手友好度 18/100
github/codeql-action#4229 · 1 則留言 ·
維護者通常 1 天內回覆
-
難度 5/5 一週以上 新手友好度 35/100
github/codeql-action#4228 ·
維護者通常 1 天內回覆
-
難度 5/5 一週以上 新手友好度 28/100
github/codeql-action#4199 · 1 則留言 ·
維護者通常 1 天內回覆
查看 github/codeql-action 的全部 Issue
相似的 Issue
-
[Android] Nested transforms are composed in reverse order可能已有人在做 @Danyalo 今天認領。 未關閉Repro provided
難度 2/5 1-3 小時 新手友好度 74/100
software-mansion/react-native-svg#3090 ·
維護者通常 1 天內回覆
-
難度 2/5 1-3 小時 新手友好度 76/100
radix-ui/primitives#4228 ·
維護者通常 1 天內回覆
-
bug
難度 1/5 1 小時以內 新手友好度 95/100
rocketride-org/rocketride-server#2705 · 1 則留言 ·
維護者通常 1 天內回覆
-
archon-ready archon-size-s archon-type-bug area: web
難度 2/5 1-3 小時 新手友好度 82/100
coleam00/Archon#4707 · 1 則留言 ·
維護者通常 1 天內回覆
-
bug
難度 2/5 1-3 小時 新手友好度 70/100
HarperFast/grafana-datasource#177 ·