Dependabot を使って GitHub Actions の依存関係を自動更新する

公開:2020/11/17
更新:2020/11/17
2 min読了の目安(約2200字TECH技術記事

経緯

GitHub Actions の set-envadd-path には脆弱性があり2020年11月16日に削除されました
自分では使っていないので関係ないと思っていたのですが、どうやら呼び出しているアクションの中で使われていることがあるようで古いバージョンを使っているものがエラーになりました。
具体的には twitter-swagger-ui/update-openapi-json.ymlpeter-evans/create-pull-request@v2 を使用しており、 v3.5.0 へ上げたらエラーが解消されました。

バージョンを最新に保っておくことはセキュリティはもちろん様々な面で有用です。
自動的にバージョンアップの有無を確認して更新するように設定します。

Dependabot

GitHub には Dependabot という依存関係を自動的に更新する機能があります。
よく Composer や npm 等のパッケージ更新に使われていると思いますが、実は GitHub Actions にも対応しています。
(自動更新と言っても知らないうちにマージされるのは危険なので Pull request で送られてきます。)

設定

バージョンアップデートの有効化と無効化 - GitHub Docs に従って作成します。
.github/dependabot.yml ファイルを直接作成しても良いですし、リポジトリの Insights > Dependency graph > Dependabot > [Enable Dependabot] > [Create config file] をクリックすると雛形を作成してくれます。

.github/dependabot.yml
version: 2
updates:
  - package-ecosystem: 'github-actions'
    directory: '/'
    schedule:
      interval: 'weekly'

更新 Pull request

設定をするとすぐにチェックが走りこのような Pull request が送られてきます。
ワークフローファイルを横断したアクション毎の Pull request になるようです。
バージョンの桁は既存の指定に合わせてくれているのでしょうか。
main を指定している場合はバージョン指定に変更されるようです。(実際その方が良いでしょう。)

set-env, add-path の対応方法

余談ではありますが自分で直接使用している場合は修正が必要です。
set-envecho "{name}={value}" >> $GITHUB_ENV へ、
add-pathecho "{path}" >> $GITHUB_PATH へ修正します。

【GitHub Actions】set-envとadd-pathが非推奨になったので対応する - Qiita