こんにちは。Rustはそこまで詳しくないものの、デスクトップアプリ開発でTauriを愛用している開発者です。

最近、オープンソース界隈でよく耳にするのが 「ソフトウェアサプライチェーン攻撃」 です。悪意のあるコードが紛れ込んだライブラリがリリースされ、それを知らずにアップデートして取り込んでしまうリスクが身近に存在します。

もちろん「ライブラリのリリースから数日〜数週間経っていること（エイジング）」を確認しただけでサプライチェーン攻撃を100%防げるわけではありません。しかし、 「リリース直後の怪しいアップデートを無防備に踏まない」 ための一応の防御策、一歩としては十分に意味があると考えています。

とはいえ、毎回 cargo update --dry-run を実行し、更新される大量のCrate名とバージョンを見て、いちいちブラウザで crates.io を開いてリリース日時を調べるのは……あまりにも面倒すぎます。

「じゃあ、コマンドをラップして Cargo の更新レポートを読み取り、自動でリリース日時を追記して表示しちゃえばいいんじゃないか？」

そう思い立ち、次世代AIアシスタント Antigravity 2.0 と、コードレビューに OpenAI Codex (ChatGPT) を迎えた「AI三位一体体制」で、サクッとマナーの良いラッパーツールを作り上げました。

作ったもの：`cargo-update-age`

実行すると、以下のように cargo update の出力の横に、自動で crates.io から取得したリリース日時（実行環境のローカルタイムゾーンに変換済み）が追記されます。

$ cargo-update-age -p tauri --dry-run
    Updating crates.io index
     Locking 1 package to latest compatible version
    Updating tauri v2.11.3 -> v2.11.4 (released: 2026-07-01 00:14:25)
note: pass `--verbose` to see 43 unchanged dependencies behind latest

v2.11.4 (released: 2026-07-01 00:14:25) のように、リリースされてどれくらい経っているか（Age）が一目瞭然になります。

このラッパーは確認専用です。引数に --dry-run が含まれていない場合でも自動で付与し、Cargo.lock を変更しないようにしています。

申し遅れました！
cargo-update-age は以下のようなエイリアスを書いております。

alias cargo-update-age="uv run --no-project /path/to/tools/cargo-update-date.py"

スクリプトコード (Python 3)

外部依存ライブラリを一切使わず、Pythonの標準ライブラリ（urllib.request, json, datetime）のみで完結させたため、uv run 等でカレントを汚さずに即実行可能です。

#!/usr/bin/env python3
# /// script
# requires-python = ">=3.11"
# dependencies = []
# ///

import json
import re
import subprocess
import sys
import time
from datetime import datetime
import urllib.request

# crates.io API requires a specific User-Agent header
USER_AGENT = "cargo-update-date/1.0 (contact: github.com/TORIFUKUKaiou)"

# Track the timestamp of the last API request for rate limiting (max 1 req/sec)
last_request_time = 0.0


def format_date(iso_str: str) -> str:
    try:
        # ISO string format like "2026-06-30T15:14:25.757956Z"
        # Convert Z to +00:00 for python fromisoformat
        clean_str = iso_str.replace("Z", "+00:00")
        dt = datetime.fromisoformat(clean_str)
        # Convert UTC to local timezone
        local_dt = dt.astimezone()
        return local_dt.strftime("%Y-%m-%d %H:%M:%S")
    except Exception:
        return iso_str


def get_release_date(crate_name: str, version: str) -> str:
    global last_request_time

    # Enforce policy rate limit: max 1 request per second
    now = time.time()
    elapsed = now - last_request_time
    if elapsed < 1.0:
        time.sleep(1.0 - elapsed)

    url = f"https://crates.io/api/v1/crates/{crate_name}"
    req = urllib.request.Request(url, headers={"User-Agent": USER_AGENT})
    try:
        last_request_time = time.time()
        with urllib.request.urlopen(req, timeout=5) as res:
            data = json.loads(res.read().decode("utf-8"))
            versions = data.get("versions", [])
            for v in versions:
                if v.get("num") == version:
                    created_at = v.get("created_at")
                    if created_at:
                        return format_date(created_at)
            return "unknown date"
    except Exception:
        return "api error"


def main() -> None:
    # This wrapper is for inspecting updates, so never modify Cargo.lock.
    cargo_args = sys.argv[1:]
    if "--dry-run" not in cargo_args:
        cargo_args.append("--dry-run")
    args = ["cargo", "update", *cargo_args]

    # Cargo writes its update report to stderr. Let stdout pass through directly
    # so the child cannot block on an unread stdout pipe.
    process = subprocess.Popen(
        args,
        stderr=subprocess.PIPE,
        text=True,
    )
    assert process.stderr is not None

    # Pattern to match: Updating <crate> v<old> -> v<new>
    pattern = re.compile(r"Updating\s+([\w-]+)\s+v(\S+)\s+->\s+v(\S+)")

    # Read stderr line-by-line in real time
    while True:
        line = process.stderr.readline()
        if not line and process.poll() is not None:
            break
        if line:
            stripped = line.strip()
            match = pattern.search(stripped)
            if match:
                crate_name = match.group(1)
                new_version = match.group(3)

                if sys.stderr.isatty():
                    sys.stderr.write(
                        line.rstrip("\n") + " (fetching release date...)\r"
                    )
                    sys.stderr.flush()

                # Get the release date
                date_str = get_release_date(crate_name, new_version)

                clear_line = "\033[K" if sys.stderr.isatty() else ""
                sys.stderr.write(
                    clear_line
                    + line.rstrip("\n")
                    + f" (released: {date_str})\n"
                )
                sys.stderr.flush()
            else:
                sys.stderr.write(line)
                sys.stderr.flush()

    raise SystemExit(process.wait())


if __name__ == "__main__":
    main()

🛠️ こだわりと工夫した点

1. Crates.io の APIポリシーを厳格に順守する

ここが一番大事です。crates.io Data Access Policy には以下のルールが明記されています。

ユーザーエージェント (User-Agent) の明記: どこの誰がリクエストしているか（あるいは連絡先リポジトリ）を示すヘッダーを付与すること。
レートリミット: 「1秒あたり最大1リクエスト」 に抑えること。

今回のスクリプトでは、グローバル変数で直前のリクエスト時刻を管理し、1秒以内に連続してリクエストが飛ばないよう、必要な待ち時間を time.sleep で挟む仕組みを実装しました。マナーを守って優しくAPIを使います。

2. プレリリースや複雑な出力に対応する正規表現の最適化

Rustのバージョン表記には 2.0.0-alpha.1 のようなプレリリースが存在します。また、Cargoの出力には以下のように次のバージョン案内が括弧書きで付与されるケースもあります。
Updating time v0.3.47 -> v0.3.51 (available: v0.3.52)

当初は単純なドットと数値だけのマッチや、力業の split() で括弧を除去していましたが、レビューを経て正規表現を以下のように最適化しました。

pattern = re.compile(r"Updating\s+([\w-]+)\s+v(\S+)\s+->\s+v(\S+)")

\S+（空白以外の連続文字）を採用することで、プレリリース文字（- やアルファベット）も扱いやすくなり、さらに後ろの (available: ...) などの余剰な情報もスペースの手前で自然にカットされ、APIに正確なバージョン番号だけを渡せるようになりました。

3. `uv run` によるポータビリティ

スクリプトには PEP 723 に準拠したインラインメタデータを定義しています。
これにより、環境を一切汚さずに uv を使って一発で実行できます。

.zshrc などに以下のようにエイリアスを設定しておけば、どのRustプロジェクトディレクトリからでも cargo-update-age としてシームレスに使えます。

alias cargo-update-age="uv run --no-project /path/to/tools/cargo-update-date.py"

🤖 AIとのペアプログラミング体験

今回のツールは、自分で手を動かしてコードを書いたというより、AIアシスタントである Antigravity 2.0 にやりたいことを伝え、レビュー担当の Codex (ChatGPT) と連携させながら対話的にコードを洗練させていきました。

「こういう出力をパースしたい」と伝えると、標準ライブラリだけで動くきれいなPythonコードの土台が瞬時に出力される。
「crates.ioの規約を守りたい」と言うと、すぐにミリ秒計算つきの正確なレートリミッターが追加される。
「プレリリースや、available表記がある場合に対応したい」と伝えると、正規表現の落とし穴をクリアした美しい \S+ を使ったパターンへ修正が施される。

このように、アイディアの言語化から実装、そしてエッジケースのバグ修正までが、AIとの心地よい往復ビンタ（対話）だけで一瞬で完成しました。まさに開発における「闘魂」の熱量そのままに、小さく速く試して動くものを作る体験ができました。

まとめ

cargo update は開発を進める上で非常に便利なコマンドですが、依存関係の海に飛び込む前に「このアップデートはいつリリースされたものか？」をワンクッション挟んで確認できるだけで、精神的な衛生面は大きく変わります。

もし「なんでも自動アップデートするのがちょっと怖いな」と感じている方は、こうしたシンプルなラッパーをシェルに忍ばせてみてはいかがでしょうか。

（※crates.io API の詳細は公式の Data Accessポリシーをご参照ください）