github-settings-as-code 3.0.2 → 3.2.0

package/src/github/vulnerability-alerts/apply.mts

@@ -0,0 +1,77 @@
+#!/usr/bin/env node
+import 'dotenv/config';
+import * as fs from 'node:fs/promises';
+import * as path from 'node:path';
+import * as t from 'ts-fortress';
+import {
+  formatUncommittedFiles,
+  isDirectlyExecuted,
+  pathExists,
+  Result,
+} from 'ts-repo-utils';
+import { settingsJsonName, vulnerabilityAlertsDir } from '../constants.mjs';
+import {
+  getVulnerabilityAlerts,
+  setVulnerabilityAlerts,
+} from './api/index.mjs';
+import { VulnerabilityAlertsSettings } from './constants.mjs';
+
+/**
+ * `repo-settings/vulnerability-alerts/settings.json` を Dependabot alerts に反映する。
+ *
+ * 設定ファイルを置いていない repository では何もしない。 pages と同じ理由 —
+ * この package は他の repository からも使われるので、ファイルの不在を
+ * 「無効にせよ」と読むと、宣言していない設定を勝手に落としてしまう。
+ */
+export const applyVulnerabilityAlerts = async (): Promise<void> => {
+  const settingsPath = path.resolve(vulnerabilityAlertsDir, settingsJsonName);
+
+  if (!(await pathExists(settingsPath))) {
+    return;
+  }
+
+  const settings = await readSettings(settingsPath);
+
+  await setVulnerabilityAlerts(settings);
+
+  // 反映後の実際の値でローカルのファイルを更新する
+  {
+    const applied = await getVulnerabilityAlerts();
+
+    const str = JSON.stringify(applied, undefined, 2);
+
+    // eslint-disable-next-line security/detect-non-literal-fs-filename
+    await fs.writeFile(settingsPath, str);
+
+    // eslint-disable-next-line security/detect-non-literal-fs-filename
+    await fs.writeFile(
+      path.resolve(vulnerabilityAlertsDir, 'bk', settingsJsonName),
+      str,
+    );
+
+    await formatUncommittedFiles();
+  }
+};
+
+const readSettings = async (
+  settingsPath: string,
+): Promise<VulnerabilityAlertsSettings> => {
+  // eslint-disable-next-line security/detect-non-literal-fs-filename
+  const settingsText = await fs.readFile(settingsPath, { encoding: 'utf8' });
+
+  const validationResult = VulnerabilityAlertsSettings.validate(
+    JSON.parse(settingsText),
+  );
+
+  if (Result.isErr(validationResult)) {
+    throw new Error(
+      t.validationErrorsToMessages(validationResult.value).join('\n'),
+    );
+  }
+
+  return validationResult.value;
+};
+
+if (isDirectlyExecuted(import.meta.url)) {
+  await applyVulnerabilityAlerts();
+}

package/src/github/vulnerability-alerts/backup.mts

@@ -0,0 +1,36 @@
+#!/usr/bin/env node
+import 'dotenv/config';
+import * as fs from 'node:fs/promises';
+import * as path from 'node:path';
+import {
+  formatUncommittedFiles,
+  isDirectlyExecuted,
+  makeEmptyDir,
+} from 'ts-repo-utils';
+import { settingsJsonName, vulnerabilityAlertsDir } from '../constants.mjs';
+import { getVulnerabilityAlerts } from './api/index.mjs';
+
+const backupDir = path.resolve(vulnerabilityAlertsDir, './bk');
+
+/** Dependabot alerts の現在値を `bk/` に保存する。 */
+export const backupVulnerabilityAlerts = async (
+  fmt: boolean = true,
+): Promise<void> => {
+  await makeEmptyDir(backupDir);
+
+  const settings = await getVulnerabilityAlerts();
+
+  // eslint-disable-next-line security/detect-non-literal-fs-filename
+  await fs.writeFile(
+    path.resolve(backupDir, settingsJsonName),
+    JSON.stringify(settings, undefined, 2),
+  );
+
+  if (fmt) {
+    await formatUncommittedFiles();
+  }
+};
+
+if (isDirectlyExecuted(import.meta.url)) {
+  await backupVulnerabilityAlerts();
+}

package/src/github/vulnerability-alerts/constants.mts

@@ -0,0 +1,25 @@
+import * as t from 'ts-fortress';
+
+/**
+ * `repo-settings/vulnerability-alerts/settings.json` の型。
+ *
+ * Settings > Advanced Security > Dependabot alerts に対応する。
+ *
+ * `security_and_analysis` とは別の API
+ * (`GET|PUT|DELETE /repos/{owner}/{repo}/vulnerability-alerts`) で、
+ * 値も JSON body ではなく 204 / 404 で返ってくる。そのため
+ * `repository-settings/settings.json` には載せられず、 pages と同じく
+ * 独立した設定ファイルにしている。
+ *
+ * `repository-settings/settings.json` の `dependabot_security_updates` は
+ * これとは別物 — あちらは「脆弱な依存を直す PR を自動で作るか」で、
+ * この repository では `pnpm-update` が lockfile を持っているため無効のまま。
+ * ここで管理するのは「既知の脆弱性を知らせるか」だけ。
+ */
+export const VulnerabilityAlertsSettings = t.record({
+  enabled: t.boolean(false),
+});
+
+export type VulnerabilityAlertsSettings = t.TypeOf<
+  typeof VulnerabilityAlertsSettings
+>;

package/src/github/vulnerability-alerts/index.mts

@@ -0,0 +1,4 @@
+export * from './api/index.mjs';
+export * from './apply.mjs';
+export * from './backup.mjs';
+export * from './constants.mjs';