gh CLI で Dependabot アラートの詳細を確認する

git push したときに Dependabot の脆弱性アラートが表示されたが、ブラウザを開かずにターミナルから詳細を確認したかった。

gh api で Dependabot アラートの情報を取得できる。

Terminal

gh api /repos/{owner}/{repo}/dependabot/alerts/19 \
  --jq '{severity: .security_advisory.severity, package: .security_vulnerability.package.name, summary: .security_advisory.summary, fixed_in: .security_vulnerability.first_patched_version.identifier}'

Output

{
  "severity": "high",
  "package": "flatted",
  "summary": "Prototype Pollution via parse() in NodeJS flatted",
  "fixed_in": "3.4.2"
}

パッケージ名、深刻度、修正バージョンが一発で分かる。--jq でフィルタすれば必要な情報だけ取れるので、CI スクリプトにも組み込みやすい。