PHPerKaigi 2022
レギュラートーク（20分）
［Github Dependabot] 「自動作成されたPRだけで脆弱性対策バッチリ」なんて思っていないですよね？
yamotuki
yamotuki
みなさん、脆弱性対策してますか？
コードに潜む脆弱性対応は以下の二つに分類できるかと思います。
- 自分たちで書いたコードの脆弱性
- 依存ライブラリ・フレームワークの脆弱性
このうち後者では、Github を使っているならば Dependabot 機能による脆弱性検知が使えます。
Dependabot security updates 機能を有効にしておくと、勝手にPRを出してくれますよね。
便利です。これの内容チェックしてマージするだけ。
めでたしめでたし。
・・・とならないので注意です。
実は、検知していても自動PRになっていない脆弱性があります。
「PRになるのはcriticalレベルのもの。多分そうだろう。」などと勘違いしておりました。
危ない危ない。
本セッションでは Dependabot の説明、注意点、運用方法のケーススタディをお届けします。