依存関係スキャン（CLI）

概要

corgea depsは、npm、Python、Javaのマニフェストとロックファイルから、オフラインで依存関係インベントリを作成します。依存関係グラフの調査、パッケージが存在する理由の確認、依存関係の変更の比較、CycloneDX SBOMの生成、依存関係ポリシーの評価が可能です。 corgea depsの使用にCorgeaアカウント、トークン、ネットワークアクセスは必要ありません。

依存関係インベントリ

プロジェクトルートで、オフラインの依存関係スキャンを実行します。

corgea deps scan

よく使用するコマンドは次のとおりです。

corgea deps scan --format human
corgea deps scan --format json
corgea deps scan --format quiet --fail-on high
corgea deps scan --out-format sarif --out-file deps.sarif
corgea deps graph --format json
corgea deps explain lodash --format human
corgea deps diff --base origin/main --format json
corgea deps sbom --format cyclonedx --out bom.json
corgea deps policy init --exist-ok

scan、graph、explain、diff、policy initのターミナル出力は、--format human、agent、json、quietのいずれかで制御できます。エージェント環境が検出された場合、corgea depsはデフォルトで簡潔なagent形式を使用します。通常のターミナル出力を使用するには、--format humanを指定します。 corgea deps scanでレポートをエクスポートする場合は、--out-format table、json、sarifのいずれかを使用し、必要に応じて--out-fileを指定します。同じdeps scanコマンドで--formatと--out-formatを併用することはできません。

ポリシー

.corgea/deps.ymlを初期化します。

corgea deps policy init

生成されたポリシーでは、ロックファイルを必須にするか、ロックファイルの欠落や更新漏れをエラーにするか、およびワイルドカード、latest、SemVer範囲を使用する直接依存関係を報告するかを制御できます。

dependency_policy:
  require_lockfile: true
  fail_on_missing_lockfile: true
  fail_on_stale_lockfile: true
  direct_dependencies:
    fail_on_wildcard: true
    fail_on_latest: true
    warn_on_semver_range: true

CI連携

次のワークフローを.github/workflows/dependencies.ymlにコピーします。

name: Dependency inventory
on:
  pull_request:
  push:
    branches: [main]

jobs:
  corgea-deps:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: actions/setup-node@v4
        with:
          node-version: '20'
      - run: npm install -g @corgea/cli
      - name: Check dependency policy
        run: corgea deps scan --format quiet --fail-on high

プルリクエストによって重大度「高」の依存関係の検出結果が新たに追加された場合にのみ失敗させるには、次のコマンドを使用します。

corgea deps diff --base origin/main --fail-on-new high --format quiet

リファレンス

コマンド

コマンド	用途	主なフラグ
`corgea deps scan [PATH]`	マニフェストとロックファイルをスキャンし、インベントリを作成してポリシーを評価	`--fail-on`、`--format`、`--out-format`、`--out-file`
`corgea deps graph [PATH]`	依存関係グラフを出力	`--format`
`corgea deps explain <PACKAGE> [PATH]`	パッケージが存在する理由を説明	`--format`
`corgea deps diff --base <BASE> [PATH]`	依存関係グラフをGit参照と比較	`--base`、`--fail-on-new`、`--format`
`corgea deps sbom [PATH]`	CycloneDX SBOMを生成	`--format`、`--out`
`corgea deps policy init [PATH]`	`.corgea/deps.yml`ポリシーファイルのひな形を作成	`--exist-ok`、`--format`

フォーマット

フラグ	値	コマンド
`--format`	`human`、`agent`、`json`、`quiet`	`scan`、`graph`、`explain`、`diff`、`policy init`
`--out-format`	`table`、`json`、`sarif`	`scan`のみ
`--format`	`cyclonedx`	`sbom`のみ

終了コード

終了コード	条件
0	エラーとするポリシーしきい値に抵触せず、コマンドが完了
1	`deps scan --fail-on`または`deps diff --fail-on-new`で、条件に一致する検出結果を検出
2	無効な引数、未対応の形式、不正な重大度の値、`explain`で指定したパッケージの欠落、またはその他のコマンドエラー

重大度値

--fail-onと--fail-on-newには、info、low、medium、high、criticalのいずれかを指定できます。

検出結果カタログ

ID	ステータス	重大度	検出結果	対処方法
`DEP001`	`emitted`	High	マニフェストに対応するロックファイルがないため、依存関係を再現可能な形で解決できません。	対象エコシステムのロックファイルを生成してコミットします。
`DEP002`	`emitted`	High	マニフェストに記載された依存関係がロックファイルにありません。	ロックファイルを再生成してコミットします。
`DEP003`	`emitted`	Medium	直接依存関係に範囲指定されたバージョンが使用されています。	バージョンを完全に固定するか、ポリシーでその範囲を明示的に許可します。
`DEP004`	`emitted`	High	直接依存関係にワイルドカード、`latest`、または上限のない範囲が使用されています。	バージョンを完全に固定します。
`DEP005`	`emitted`	High	直接依存関係が変更可能なGitブランチを参照しています。	コミットSHAまたは変更されないリリースタグに固定します。
`DEP006`	`emitted`	High	URLまたはtarballによる直接依存関係に整合性チェックサムがありません。	整合性チェックサムを追加するか、レジストリのパッケージに固定します。
`DEP008`	`emitted`	Medium	ロックファイルのエントリに整合性ハッシュがありません。	エントリに整合性ハッシュを追加します。
`DEP010`	`reserved`	Medium	脆弱なパッケージのアドバイザリ検出用に予約されています。`corgea deps`はこのコードを出力しません。	アドバイザリチェックまたはパッケージマネージャーのインストールゲートで処理します。
`DEP014`	`emitted`	Low	同じパッケージの複数の解決済みバージョンが存在します。	解決済みバージョンを揃えるか、重複を解消します。
`DEP019`	`emitted`	Medium	検出されたロックファイル形式はパーサーでサポートされていません。	サポートされているロックファイルを使用するか、パーサーの対応を待ちます。
`DEP021`	`emitted`	High	Maven SNAPSHOTなど、直接指定されたアーティファクトのバージョンが変更可能です。	変更されないリリースバージョンに固定します。

トラブルシューティング

フォーマットの競合

deps scanでは、--formatと--out-formatを併用したコマンドは拒否されます。

deps failed: --format cannot be used with --out-format; choose one output selector

ターミナルへの表示には--format、スキャンレポートのエクスポートには--out-formatを使用します。

パッケージが見つからない

指定したパッケージがスキャン済みの依存関係グラフに存在しない場合、deps explainは終了コード2で終了します。

deps failed: package not found: package-name

スタートガイド

主な機能

インテグレーション

ツールとユーティリティ

リリース

信頼性とコンプライアンス

認証

概要

依存関係インベントリ

ポリシー

CI連携

リファレンス

コマンド

フォーマット

終了コード

重大度値

検出結果カタログ

トラブルシューティング

フォーマットの競合

パッケージが見つからない

​概要

​依存関係インベントリ

​ポリシー

​CI連携

​リファレンス

​コマンド

​フォーマット

​終了コード

​重大度値

​検出結果カタログ

​トラブルシューティング

​フォーマットの競合

​パッケージが見つからない

概要

依存関係インベントリ

ポリシー

CI連携

リファレンス

コマンド

フォーマット

終了コード

重大度値

検出結果カタログ

トラブルシューティング

フォーマットの競合

パッケージが見つからない