プログラミングの勉強日記
2020年8月5日 Progate Lv.226
RailsのアプリをGitHubにプッシュしたら「One of your dependencies has a security vulnerability」というメールがたくさんきて、GitHubを見てみたら警告が出ていた。この対処法をまとめる。
セキュリティアラートの確認
「We found potential security vulnerabilities in your dependencies.
Only the owner of this repository can see this message.」
という警告が出ている。
（メールにもセキュリティ警告のメールがたくさん届いた。）
「See Dependabout alerts」をクリックすると詳細がわかる。（スクショを取り忘れてしまった、、）
私の場合は「Gemfile.lock」を書きかえるよう言われていた。Gemfile.lockなんていじったことないのに、なんで…？という感じだったのでいろいろ調べてみた。
対処法
ネットで調べてみた結果、コマンドでbundle updateを実行すれば解決するらしい。
bundle update
いくつかの警告は減ったが、それでも警告が残ってしまっていた。
警告内容を詳しく見てみると、railsとpumaを最新のバージョンにアップデートすればいいみたいだったので、Gemfileを書きかえた。（バージョンを指定しないと最新のgemがインストールされる）
#gem 'rails', '5.0.3'
#以下に書きかえる
gem 'rails'
#gem 'puma', '3.6.2'
#以下に書きかえる
gem 'puma'
Gemfileを書きかえたあとにbundle updateを実行する。
bundle update
実行したら、GemfileとGemfile.lockをプッシュする。
警告が消えた！！
以上が解決方法である。
Gemfileはこちらの記事で触れているので、なんとなく理解しているが、Gemfile.lockがよくわからないので調べてみた。
GemfileとGemfile.lockの違い
Gemfileとは
インストールしたいgemを記述するファイル。
gem 'gemの名前'と記述する。rails newコマンドで生成されたGemfileにはすでにいくつかのgemが書かれてインストールされている。
gem 'gemの名前', 'gemのバージョン' とすると、そのバージョンがインストールされる。バージョンを指定しないと、最新のgemがインストールされる。
Gemfile.lockとは
bundle installした時に作られるもの。Gemfileと似ているが、Gemfileに書いていたgemが必要としている別のgemも含め、動作に必要な全てのgemが展開される。つまり、Gemfile.lockはGemfile には書いてなくても，依存している gem は書かれている。
gem 自体がインストールされたかされていないかに関わらず、bundle installしたときに「Gemfile」に書かれたgemについてのバージョンや名前は「Gemfile.lock」に書かれている。
Bundlerについて
Bundlerはgemを管理するためのgemのこと。bundle installやbundle updateなどを使用することができる。
Bundlerは「Gemifile」に書かれてあるgemの他に必要なgemもあり、それらを自動でインストールして「Gemifile.lock」に記述する。
違い
- Gemfileは、インストールするgemを指定するファイル。
- Gemfile.lockは、実際にインストールされたものを記載したファイル（全部のgemが書かれている）。Bundlerでインストールされるgemパッケージの依存関係の解決結果とバージョンを固定する役割がある。単にgemだけ書いてあるGemfileと違って、バージョンまで書いてある。
gem updateとbundle updateの違い
gem コマンドは「Gemfile」や「Gemfile.lock」とは無関係である。gem update はシステムにインストールされている gem について、それより新しいバージョンがあればその最新版をインストールする。
bundleコマンドは「Gemfile」と「Gemfile.lock」と関係している。「Gemfile.lock」は、bundle installすることで書き込まれる。（インストールを行った後に更新されている）
bundle install と bundle updateについて
bundle install：「Gemfile.lock」を元にgemのインストールを行う。新しい環境や、gemfileに新しくgemを記述したときに使う。
bundle update：「Gemfile」を元にgemのインストールを行う。
参考文献
GitHubでセキュリティ脆弱性のアラートが来てビビりながら対応した話
Githubから脆弱性を指摘されたのでメモ
Gemfile.lock が更新されるタイミングはいつなのか？
bundle installとupdateの使い方について