依存関係ヘルスチェッカー

プロジェクトの依存関係を、既知の脆弱性、古いバージョン、潜在的な問題についてチェックします。

実行するタイミング

• ユーザーが依存関係のセキュリティまたは脆弱性について質問した
• ユーザーが依存関係を更新または追加している
• ユーザーが「audit」「outdated」「vulnerable」「dependencies」といったキーワードを使用している
• ユーザーがリリースまたはデプロイメント準備をしている

チェック対象

1. 既知の脆弱性

プロジェクトのパッケージマネージャーに対応する監査コマンドを実行します:

# Node.js
npm audit --json 2>/dev/null | python3 -c "import sys,json; d=json.load(sys.stdin); print(f'Vulnerabilities: {d.get(\"metadata\",{}).get(\"vulnerabilities\",{})}')"

# Python
pip audit 2>/dev/null || echo "Install: pip install pip-audit"

# Go
govulncheck ./... 2>/dev/null || echo "Install: go install golang.org/x/vuln/cmd/govulncheck@latest"

# Rust
cargo audit 2>/dev/null || echo "Install: cargo install cargo-audit"

2. 古い依存関係

# Node.js
npm outdated 2>/dev/null

# Python
pip list --outdated 2>/dev/null

# Go
go list -m -u all 2>/dev/null

# Rust
cargo outdated 2>/dev/null

3. レポート形式

結果を以下の形式で提示します:

4. 推奨事項

• Critical/High 脆弱性: 直ちにフラグを立て、具体的なアップデートコマンドを提案する
• 古いバージョン (major): 破壊的変更に注意し、チェンジログへのリンクを提供する
• 古いバージョン (minor/patch): バッチアップデートを提案する
• 問題が見つからない: プロジェクトが健全であることを確認する

参考資料

• SECURITY.md — 脆弱性報告
• Dependabot config — 自動アップデート
• PROD_CHECKLIST.md — デプロイ前チェックリスト