Github의 Automated Security Fix 기능 활용하여 보안 문제 해결하기

포트폴리오 관리도 해야하고 버전관리도 해야하다보니 Github에 들락날락 자주하는 편인데 항상 우측 상단에 알람 표시가 들어가 있어서 확인을 하여보면 Security Alarm인 경우가 많더군요. 항상 방치만 해오다가 레포지토리를 정리하는 과정에서 한번 해결을 해야겠다 싶어서 확인해보니 Github에서 Automated Security Fix라는 기능을 제공합니다.

 

Dependabot이라는 회사? 에서 제공하는 기능인듯한데 Github 자체에도 포함되어 있나봅니다.

우선 문제가 발생하고 있는 레포지토리중 하나를 캡쳐해보았습니다. high severity라는걸 보니 뭔지는 몰라도 심각한 문제인가 봅니다. 

저기서 엄청 편리한 기능이 일일히 오류 하나하나 들어가보지 않아도 Automated Security Fixes 기능을 활성화하면 자동으로 문제있는 점들을 파악해서 Pull Requests를 넣어줍니다. 관리를 해야하는 레포지토리들의 경우에는 저 기능을 활성화 시켜두면 Pull Requests만 확인해서 merge해주면되서 굉장히 편하더라구요.

 

문제가 해결된 이후에는 이렇게 Pull Requests가 옵니다. 이후에는 Merge만 해주면 완료!

가끔 자동으로 고쳐지지 않는 문제가 있는데 이의 경우에는 수동으로 업데이트 해주시면 빠릅니다.

 

NPM을 사용할 경우 아래 문서를 확인해서 업데이트 후에 package.json & lock 파일을 commit 시켜주시면 됩니다.

 

https://flaviocopes.com/update-npm-dependencies/

Update all the Node dependencies to their latest version

Yarn을 사용하는 경우에는 `yarn upgrade` 커맨드로 업데이트 후 yarn.lock 파일을 commit 시켜주시면됩니다.