Dependabot
Habe gestern gehört, dass es auf GitHub einen Dienst gibt, der die Aktualität der verwendeten Bibliotheken überwacht und über neuere Versionen informiert.
Der Dienst heißt Dependabot
Auf GitHub gibt es einen Blog Eintrag dazu und GitHub-Dokumentation gibt es auch.
Dependabot einrichten
Im Projekt wird Maven verwendet und daher lautet das package-ecosystem laut Dokumentation überraschenderweise: "maven":
Pull request
Dass es funktioniert hat, konnte ich direkt daran sehen, dass ein Pull request angezeigt wird:
Merge & confirm pull request. Und schon ist die pom.xml wieder up to date. Das war ja einfach.
Dependabot security updates
Da die version updates so gut geklappt haben, aktiviere ich die security updates, für die auch die alerts aktiviert werden müssen:
Das Aktivieren hat keine Auswirkungen gezeigt, vermutlich ist mein Sample Projekt schon sicher.
Code scanning
Als Sprache wurde Java automatisch erkannt, daher kann die Konfigurationsdatei unverändert gespeichert werden.
Unter Actions kann ich sehen, dass der Code scanning workflow gelaufen ist und es Probleme gibt:
Logfiles suchen und herunterladen, da sie zu lang für den Webviewer sind.
Fatal error compiling: error: invalid target release: 17
Hier findet sich ein Hinweis: "Have you set up a Java 17 environment on Actions using https://github.com/actions/setup-java?"
Die Dokumentation hilft weiter und der Workflow wird um einen Schritt erweitert: Set up JDK 17
- name: Set up JDK 17
uses: actions/setup-java@v3
with:
java-version: '17'
distribution: 'temurin'
Anschließend läuft der Job durch:
Der Erfolg des Scans findet sich im Security Tab unter Code scanning:
Secret scanning
Receive alerts on GitHub for detected secrets, keys, or other tokens.
https://github.com/DerIngo/Docx4JSample/settings/security_analysis
Klingt interessant. Mein Projekt hat keine Secrets, also füge ich erstmal eine Properties-Datei mit einem geheimen Passwort hinzu:
Anschließend wird das Secret scanning aktiviert:
Es wird kein Secret Alert ausgelöst:
Anschließend füge ich dem password auch noch ein username hinzu, aber das Ergebnis bleibt das Gleiche.
In der Dokumentation finden sich Supported secrets, ich probiere eines davon ("adafruit_io_key") als Property-Eintrag aus. aber das Ergebnis bleibt das Gleiche.
Ich suche nach "adafruit_io_key" und erweitere die Properties-Datei ein weiteres mal:
Aber das Ergebnis bleibt das Gleiche.
Ich probiere es mit einer weiteren Secret Datei:
Aber das Ergebnis bleibt das Gleiche.
Also sind meine Fake-Credentials zu billig, als dass GitHub darauf anspringt, oder das Feature funktioniert anders als gedacht.