evergreen を使って Dependabot の作成、設定漏れがないか確認する

はじめに

github/evergreen は対象の Organization または repository に 依存package の更新が実行可能であるにもかかわらず .github/dependabot.yml が存在しない場合に Issue または Pull request を作成してくれる Action です。

github/evergreen を設定することで、 Dependabot の設定漏れを表面化しプロジェクトが脆弱性にさらされたり、安定性が損なわれたり、全体的なパフォーマンスが低下したり等あらゆるリスクを低減できると考えられます。

evergreen を設定する

README.md の通り evergreen を設定すればOKです。

設定する repository は Organization (や ユーザー) が保持する任意の repository で構いません。
ただし、ORGANIZATION env に ユーザー名 (渡しの場合は mziyut) を設定しても正しく動作しません。 Organization を設定するようにしてください。

個人が保持する repository に対して evergreen を設定したい場合は、 mziyut/foobar 等のように repository path を指定してください。

.github/workflows/dependabot-checks.yml

name: Weekly dependabot checks

on:
  workflow_dispatch:
  schedule:
    - cron: '0 0 * * 6'

permissions:
  contents: read

jobs:
  evergreen:
    name: evergreen
    runs-on: ubuntu-latest
    permissions:
      issues: write

    steps:
      - name: Run evergreen action
        uses: github/evergreen@v1.15.3
        env:
          GH_TOKEN: ${{ secrets.PERSONAL_ACCESS_TOKEN }}
          REPOSITORY: mziyut/disposable-email-domains-js

Ref