【朗報】ワイの CI、Trivy の結果が PR に出るようになる

1 風吹けば名無し 2026/09/19(土) 21:04:00 ID:Gh7Ac2tn
CI の設定は「あとでちゃんとやろう」と思ったまま、動けばいいやで放置しとったわ
さすがに整えた

2 風吹けば名無し 2026/09/19(土) 21:05:23 ID:Pw4kS9ez
何から直したんや

3 風吹けば名無し 2026/09/19(土) 21:06:08 ID:Gh7Ac2tn
>>2 Trivy の脆弱性スキャン結果をジョブログに出力するだけにしとったんや

4 風吹けば名無し 2026/09/19(土) 21:07:16 ID:Pw4kS9ez
>>3 それ誰も見んやろ

5 風吹けば名無し 2026/09/19(土) 21:08:47 ID:Gh7Ac2tn
>>4 その通りや
PR のたびに確認しに行く必要があって、結局見んくなる

6 風吹けば名無し 2026/09/19(土) 21:09:40 ID:Rd8nV3qy
で、どうしたんや

7 風吹けば名無し 2026/09/19(土) 21:10:56 ID:Gh7Ac2tn
>>6 GitHub の Code Scanning に SARIF 形式で送るようにした

- uses: github/codeql-action/upload-sarif@v3
  with:
    sarif_file: trivy-results.sarif

8 風吹けば名無し 2026/09/19(土) 21:11:34 ID:Rd8nV3qy
>>7 これだけか

9 風吹けば名無し 2026/09/19(土) 21:12:35 ID:Gh7Ac2tn
>>8 これだけや
問題があると PR にアノテーションで出るようになったから嫌でも目に入る

10 風吹けば名無し 2026/09/19(土) 21:13:59 ID:Lm5tB7uc
他には

11 風吹けば名無し 2026/09/19(土) 21:14:45 ID:Gh7Ac2tn
>>10 サードパーティ Action を SHA で固定した
タグ指定やと将来タグが書き換えられるリスクがあるからな

12 風吹けば名無し 2026/09/19(土) 21:15:54 ID:Lm5tB7uc
>>11 管理面倒やろ

13 風吹けば名無し 2026/09/19(土) 21:17:26 ID:Gh7Ac2tn
>>12 ワイもそう思っとったんやけど、Dependabot 有効にしとけば更新 PR を自動で作ってくれる
実際のコストはほぼゼロやった

14 風吹けば名無し 2026/09/19(土) 21:18:20 ID:Pw4kS9ez
>>13 じゃあ最初からやれや

15 風吹けば名無し 2026/09/19(土) 21:19:37 ID:Gh7Ac2tn
>>14 やるべきことがわかっとるのに後回しにしとっただけ、という話やった