依存関係スキャン（CLI）

概要

corgea depsは、npm、Python、Javaのマニフェストとロックファイルから、オフラインで依存関係インベントリを作成します。依存関係グラフの調査、パッケージが存在する理由の確認、依存関係の変更の比較、CycloneDX SBOMの生成、依存関係ポリシーの評価が可能です。 corgea depsの使用にCorgeaアカウント、トークン、ネットワークアクセスは必要ありません。

依存関係インベントリ

プロジェクトルートで、オフラインの依存関係スキャンを実行します。

corgea deps scan

よく使用するコマンドは次のとおりです。

corgea deps scan --format human
corgea deps scan --format json
corgea deps scan --format quiet --fail-on high
corgea deps scan --out-format sarif --out-file deps.sarif
corgea deps graph --format json
corgea deps explain lodash --format human
corgea deps diff --base origin/main --format json
corgea deps sbom --format cyclonedx --out bom.json
corgea deps policy init --exist-ok

scan、graph、explain、diff、policy initのターミナル出力は、--format human、agent、json、quietのいずれかで制御できます。エージェント環境が検出された場合、corgea depsはデフォルトで簡潔なagent形式を使用します。通常のターミナル出力を使用するには、--format humanを指定します。 corgea deps scanでレポートをエクスポートする場合は、--out-format table、json、sarifのいずれかを使用し、必要に応じて--out-fileを指定します。同じdeps scanコマンドで--formatと--out-formatを併用することはできません。

ポリシー

.corgea/deps.ymlを初期化します。

corgea deps policy init

生成されたポリシーでは、ロックファイルを必須にするか、ロックファイルの欠落や更新漏れをエラーにするか、およびワイルドカード、latest、SemVer範囲を使用する直接依存関係を報告するかを制御できます。

dependency_policy:
  require_lockfile: true
  fail_on_missing_lockfile: true
  fail_on_stale_lockfile: true
  direct_dependencies:
    fail_on_wildcard: true
    fail_on_latest: true
    warn_on_semver_range: true

CI連携

次のワークフローを.github/workflows/dependencies.ymlにコピーします。

name: Dependency inventory
on:
  pull_request:
  push:
    branches: [main]

jobs:
  corgea-deps:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: actions/setup-node@v4
        with:
          node-version: '20'
      - run: npm install -g @corgea/cli
      - name: Check dependency policy
        run: corgea deps scan --format quiet --fail-on high

プルリクエストによって重大度「高」の依存関係の検出結果が新たに追加された場合にのみ失敗させるには、次のコマンドを使用します。

corgea deps diff --base origin/main --fail-on-new high --format quiet

リファレンス

コマンド

コマンド	用途	主なフラグ
`corgea deps scan [PATH]`	マニフェストとロックファイルをスキャンし、インベントリを作成してポリシーを評価	`--fail-on`、`--format`、`--out-format`、`--out-file`
`corgea deps graph [PATH]`	依存関係グラフを出力	`--format`
`corgea deps explain <PACKAGE> [PATH]`	パッケージが存在する理由を説明	`--format`
`corgea deps diff --base <BASE> [PATH]`	依存関係グラフをGit参照と比較	`--base`、`--fail-on-new`、`--format`
`corgea deps sbom [PATH]`	CycloneDX SBOMを生成	`--format`、`--out`
`corgea deps policy init [PATH]`	`.corgea/deps.yml`ポリシーファイルのひな形を作成	`--exist-ok`、`--format`

フォーマット

フラグ	値	コマンド
`--format`	`human`、`agent`、`json`、`quiet`	`scan`、`graph`、`explain`、`diff`、`policy init`
`--out-format`	`table`、`json`、`sarif`	`scan`のみ
`--format`	`cyclonedx`	`sbom`のみ

終了コード

終了コード	条件
0	エラーとするポリシーしきい値に抵触せず、コマンドが完了
1	`deps scan --fail-on`または`deps diff --fail-on-new`で、条件に一致する検出結果を検出
2	無効な引数、未対応の形式、不正な重大度の値、`explain`で指定したパッケージの欠落、またはその他のコマンドエラー

重大度値

--fail-onと--fail-on-newには、info、low、medium、high、criticalのいずれかを指定できます。

トラブルシューティング

フォーマットの競合

deps scanでは、--formatと--out-formatを併用したコマンドは拒否されます。

deps failed: --format cannot be used with --out-format; choose one output selector

ターミナルへの表示には--format、スキャンレポートのエクスポートには--out-formatを使用します。

パッケージが見つからない

指定したパッケージがスキャン済みの依存関係グラフに存在しない場合、deps explainは終了コード2で終了します。

deps failed: package not found: package-name

スタートガイド

主な機能

インテグレーション

ツールとユーティリティ

リリース

信頼性とコンプライアンス

認証

概要

依存関係インベントリ

ポリシー

CI連携

リファレンス

コマンド

フォーマット

終了コード

重大度値

トラブルシューティング

フォーマットの競合

パッケージが見つからない

​概要

​依存関係インベントリ

​ポリシー

​CI連携

​リファレンス

​コマンド

​フォーマット

​終了コード

​重大度値

​トラブルシューティング

​フォーマットの競合

​パッケージが見つからない

概要

依存関係インベントリ

ポリシー

CI連携

リファレンス

コマンド

フォーマット

終了コード

重大度値

トラブルシューティング

フォーマットの競合

パッケージが見つからない