Varnan-Tech/opendirectory

依存関係更新ボット

古くなったパッケージをスキャンし、セキュリティ監査を実行し、変更ログを取得し、破壊的変更を要約し、リスクグループごとに1つのPRを作成します。

---

重要なルール: パッケージマネージャの outdated コマンドが実際に報告したパッケージのみを更新してください。バージョン番号を推測したり、でっち上げたりしないでください。変更ログが取得できない場合は、内容をでっち上げずにそのギャップを明記してください。

---

ステップ1: セットアップチェック

echo "GEMINI_API_KEY: ${GEMINI_API_KEY:+set}"
echo "GITHUB_TOKEN: ${GITHUB_TOKEN:-not set, changelog fetching rate-limited to 60/hour}"
gh auth status 2>/dev/null | head -1 || echo "gh: not authenticated"

GEMINI_API_KEY がない場合: 停止して、ユーザーに次のように伝えてください。「GEMINI_API_KEY が必要です。aistudio.google.com で取得し、.env ファイルに追加してください。」

gh が認証されていない場合: 停止して、ユーザーに次のように伝えてください。「GitHub CLI が認証されている必要があります。gh auth login を実行してください。」

パッケージマネージャを検出する:

ls package.json 2>/dev/null && echo "npm"
ls requirements.txt pyproject.toml 2>/dev/null && echo "pip"
ls Cargo.toml 2>/dev/null && echo "cargo"
ls go.mod 2>/dev/null && echo "go"
ls Gemfile 2>/dev/null && echo "ruby"

複数見つかった場合は、次のように尋ねてください。「[リスト] が見つかりました。どれをスキャンしますか？ (all / npm / pip / cargo / go / ruby)」

---

ステップ2: 古くなったパッケージを検出する

npm:

npm outdated --json --long 2>/dev/null | python3 -c "
import sys, json
data = json.load(sys.stdin)
for name, info in data.items():
    print(json.dumps({'name': name, 'current': info.get('current','?'), 'latest': info.get('latest','?'), 'dep_type': info.get('type','dependencies')}))
"

pip:

pip list --outdated --format=json 2>/dev/null | python3 -c "
import sys, json
for p in json.load(sys.stdin):
    print(json.dumps({'name': p['name'], 'current': p['version'], 'latest': p['latest_version']}))
"

Cargo (Rust):

cargo outdated --format json 2>/dev/null || \
  cargo outdated 2>/dev/null | grep -v "^---" | tail -n +3 | head -30
# If cargo-outdated not installed: cargo install cargo-outdated

Go モジュール:

go list -u -m -json all 2>/dev/null | python3 -c "
import sys, json
decoder = json.JSONDecoder()
buf = sys.stdin.read()
pos = 0
while pos < len(buf):
    try:
        obj, idx = decoder.raw_decode(buf, pos)
        if obj.get('Update'):
            print(json.dumps({'name': obj['Path'], 'current': obj['Version'], 'latest': obj['Update']['Version']}))
        pos += idx
    except: break
"

Ruby (Bundler):

bundle outdated --parseable 2>/dev/null | python3 -c "
import sys
for line in sys.stdin:
    parts = line.strip().split()
    if len(parts) >= 4:
        print('{\"name\":\"' + parts[0] + '\",\"current\":\"' + parts[3].strip('()') + '\",\"latest\":\"' + parts[1] + '\"}')
"

すべて空の場合は、「すべてのパッケージは最新です。」と表示して停止します。

続行する前に個数を表示します。「X 個の古くなったパッケージが見つかりました。」

---

ステップ3: リスクレベルで分類する

バージョンアップ（現在 → 最新）を解析します:

• MAJOR: 最初の桁が変更 (1.x.x → 2.x.x)
• MINOR: 2番目の桁が変更 (1.2.x → 1.3.x)
• PATCH: 3番目の桁が変更 (1.2.3 → 1.2.4)

python3 -c "
def classify(current, latest):
    try:
        c = [int(x) for x in current.lstrip('v').split('.')[:3]]
        l = [int(x) for x in latest.lstrip('v').split('.')[:3]]
        if l[0] > c[0]: return 'major'
        if len(l) > 1 and len(c) > 1 and l[1] > c[1]: return 'minor'
        return 'patch'
    except: return 'unknown'
"

内訳を表示します。「Patch: X パッケージ。Minor: Y パッケージ。Major: Z パッケージ。」

---

ステップ4: セキュリティ監査

PR を作成する前に CVE スキャンを実行します。これにより緊急度が決まります。

npm:

npm audit --json 2>/dev/null | python3 -c "
import sys, json
d = json.load(sys.stdin)
vulns = d.get('vulnerabilities', {})
for pkg, info in vulns.items():
    sev = info.get('severity', 'unknown')
    via = [v.get('title','') for v in info.get('via',[]) if isinstance(v, dict)]
    print(f'  [{sev.upper()}] {pkg}: {via[0] if via else \"see npm audit\"}')
" 2>/dev/null || echo "No vulnerabilities found or npm audit not available"

pip:

pip-audit --format=json 2>/dev/null | python3 -c "
import sys, json
for vuln in json.load(sys.stdin):
    print(f'  [{vuln.get(\"aliases\",[\"\"])[0]}] {vuln[\"name\"]} {vuln[\"version\"]}: {vuln[\"description\"][:80]}')
" 2>/dev/null || echo "pip-audit not installed. Run: pip install pip-audit"

Cargo:

cargo audit 2>/dev/null | grep -E "^(ID|Package|Severity|URL)" | head -30 \
  || echo "cargo-audit not installed. Run: cargo install cargo-audit"

エスカレーションルール: PATCH または MINOR 更新に Critical または High の CVE がある場合は、MAJOR 優先度に格上げします。つまり、専用の PR が作成され、CVE の詳細が PR 本文に含まれます。

続行する前にセキュリティ調査結果を報告します:

Security audit: [N] vulnerabilities found
  [CRITICAL] lodash 4.17.19: Prototype Pollution (CVE-2021-23337)
  [HIGH] axios 0.21.1: Server-Side Request Forgery (CVE-2021-3749)

脆弱性がない場合: 「Security audit: clean.」

---

ステップ5: 変更ログを取得する

各パッケージについて、以下のソースを順に試します。コンテンツが返ってきた最初のソースで停止します。

ソース1: GitHub Releases API

レジストリからリポジトリ URL を取得:

# npm
curl -s "https://registry.npmjs.org/{PACKAGE}/latest" \
  | python3 -c "import sys,json; d=json.load(sys.stdin); r=d.get('repository',{}); print(r.get('url','') if isinstance(r,dict) else str(r))"

# pip
curl -s "https://pypi.org/pypi/{PACKAGE}/json" \
  | python3 -c "import sys,json; d=json.load(sys.stdin); print(d.get('info',{}).get('home_page','') or d.get('info',{}).get('project_urls',{}).get('Source',''))"

最新 5 件のリリースを取得:

AUTH_HEADER=""
[ -n "$GITHUB_TOKEN" ] && AUTH_HEADER="-H \"Authorization: Bearer $GITHUB_TOKEN\""
curl -s $AUTH_HEADER \
  "https://api.github.com/repos/{OWNER}/{REPO}/releases?per_page=5" \
  | python3 -c "import sys,json; [print(json.dumps({'tag':r.get('tag_name',''),'body':r.get('body','')[:1500]})) for r in json.load(sys.stdin)]"

現在のバージョンから最新バージョンの間のリリースのみを保持します。

ソース2: npm レジストリ README（フォールバック）

curl -s "https://registry.npmjs.org/{PACKAGE}" \
  | python3 -c "import sys,json; print(json.load(sys.stdin).get('readme','')[:3000])"

ソース3: PyPI の説明（pip の最後の手段）

curl -s "https://pypi.org/pypi/{PACKAGE}/json" \
  | python3 -c "import sys,json; print(json.load(sys.stdin).get('info',{}).get('description','')[:2000])"

どのソースもコンテンツを返さない場合: 「変更ログが見つかりません」とメモして続行します。

---

ステップ6: Gemini で要約する

リスクグループごとに1つのリクエスト。CVE の影響を受けるパッケージのセキュリティ調査結果を含めます:

cat > /tmp/deps-summary-request.json << 'ENDJSON'
{
  "system_instruction": {
    "parts": [{
      "text": "You are a developer writing a GitHub PR description for a dependency update. Given a list of packages being updated and their raw changelog content, write a concise PR body in Markdown. Rules: For each package, list only what changed between the OLD version and the NEW version. Use bullet points. Flag breaking changes with a BREAKING prefix. Flag CVE fixes with a SECURITY prefix and include the CVE ID. Keep each package section to 3-5 bullets maximum. If no changelog was found for a package, write 'No changelog available.' Do not use em dashes. Do not use these words: seamless, robust, leverage, transform, innovative. Output only the Markdown PR body, no commentary."
    }]
  },
  "contents": [{
    "parts": [{
      "text": "PACKAGES_AND_CHANGELOGS_HERE"
    }]
  }],
  "generationConfig": {
    "temperature": 0.2,
    "maxOutputTokens": 2048
  }
}
ENDJSON

curl -s -X POST \
  "https://generativelanguage.googleapis.com/v1beta/models/gemini-2.0-flash:generateContent?key=$GEMINI_API_KEY" \
  -H "Content-Type: application/json" \
  -d @/tmp/deps-summary-request.json \
  | python3 -c "import sys,json; d=json.load(sys.stdin); print(d['candidates'][0]['content']['parts'][0]['text'])"

---

ステップ7: PR を作成する

空でないリスクグループごとに1つのPR。メジャー更新の場合はパッケージごとに1つのPR（個別レビューが必要）。

1. ブランチを作成:

BRANCH="deps/{RISK}-updates-$(date +%Y%m%d)"
git checkout -b "$BRANCH"

2. パッケージファイルを更新:

npm:

npm install {package}@{latest_version} --save-exact
# devDependencies:
npm install {package}@{latest_version} --save-dev --save-exact

pip:

python3 -c "
import re, sys
pkg, version, filename = sys.argv[1], sys.argv[2], sys.argv[3]
with open(filename) as f: content = f.read()
pattern = rf'^{re.escape(pkg)}[>=<!\s].*$'
new_content = re.sub(pattern, f'{pkg}=={version}', content, flags=re.MULTILINE|re.IGNORECASE)
if new_content == content: new_content = content + f'\n{pkg}=={version}'
open(filename, 'w').write(new_content)
" "{PACKAGE}" "{LATEST}" "requirements.txt"

Cargo:

# Edit Cargo.toml version field for the package, then:
cargo update {package}

Go:

go get {module}@{latest_version}
go mod tidy

Ruby:

bundle update {gem_name}

3. コミット:

git add -A
git commit -m "chore(deps): update {RISK} dependencies $(date +%Y-%m-%d)"

4. PR を作成:

cat > /tmp/dep-pr-body-{RISK}.md << 'ENDMD'
PR_BODY_FROM_GEMINI
ENDMD

gh pr create \
  --title "chore(deps): update {RISK} dependencies" \
  --body-file /tmp/dep-pr-body-{RISK}.md \
  --label "dependencies" \
  --base main

メジャー更新にはラベル dependencies,breaking-change を付けます。CVE 修正の更新にはラベル dependencies,security を付けます。

各 PR の後、メインに戻ります: git checkout main

---

ステップ8: 診断モード

トリガー: パッケージのインストールコマンドが実行中に失敗した場合、停止する代わりに診断モードに入ります。

失敗のタイプを特定します:

エラーパターン	考えられる原因	推奨される修正
peer dep conflict	ピア依存関係の非互換性	競合するペアを表示し、--legacy-peer-deps フラグまたはダウングレードを提案
ERESOLVE	npm 解決競合	影響を受けるパッケージのみに対して npm install --legacy-peer-deps を実行
version not found	レジストリにバージョンが存在しない	npm view {pkg} versions でレジストリを確認
python requires	Python バージョンの非互換性	必要な Python バージョンをメモし、パッケージをスキップ
cargo E0463	Rust エディションの非互換性	手動レビュー用にフラグを設定

診断サマリーを提示します:

Install failed for {package}: {error type}
Likely cause: {explanation}
Suggested fix: {specific command or action}
Remaining packages: proceeding with {N} that succeeded.

1つのパッケージが失敗しても、実行全体を停止しないでください。成功したパッケージで続行します。

---

ステップ9: 出力サマリー

## Dependency Update Summary: [YYYY-MM-DD]

### Security
[CRITICAL] lodash: CVE-2021-23337 fixed in 4.17.21: PR #42
[HIGH] axios: CVE-2021-3749 fixed in 0.21.4: PR #42

| Risk Level | Packages | PR |
|------------|----------|-----|
| Patch | lodash 4.17.19→4.17.21, axios 0.21.1→0.21.4 | #42 |
| Minor | express 4.17.1→4.18.2 | #43 |
| Major | react 17.0.2→18.2.0 | #44 |

PRs opened: 3

Packages with no changelog: some-obscure-pkg (no GitHub repo in registry)
Install failures: none

Next action: Review major update PRs individually before merging.