From 31275484805d06bd1f07f3cdac5f219494256c54 Mon Sep 17 00:00:00 2001 From: merge-check <140916359+agentHits@users.noreply.github.com> Date: Tue, 27 Oct 2026 09:26:07 -0400 Subject: [PATCH] ci: run bun audit every week MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit Что: - .github/workflows/dependency-audit.yml: bun audit --audit-level=moderate каждый понедельник в 05:41 UTC и по ручному запуску, на ubuntu-24.04. Зачем: - Проверка в pull-request.yml видит только уязвимости, известные на момент PR. Еженедельный запуск ловит опубликованные позже для зависимостей, которые никто не трогал, в том числе между PR Dependabot. Риски: - Об упавшем запуске по расписанию GitHub пишет тому, кто последним менял строку cron. В публичном репозитории GitHub отключает расписание после 60 дней без активности. - Self-hosted раннеры не используются: у запуска по расписанию нет PR, по которому выбирается раннер. Проверки: - actionlint — без замечаний. - bun audit --audit-level=moderate локально — No vulnerabilities found (1527 пакетов). What: - bun audit every Monday at 05:41 UTC and on demand. Why: - The PR audit only sees advisories that exist when a PR runs. Checks: - actionlint clean; bun audit clean locally. Co-Authored-By: Claude Opus 5.5 --- .github/workflows/dependency-audit.yml | 27 ++++++++++++++++++++++++++ 1 file changed, 27 insertions(+) create mode 100644 .github/workflows/dependency-audit.yml diff --git a/.github/workflows/dependency-audit.yml b/.github/workflows/dependency-audit.yml new file mode 100644 index 00000000000..7e8dd0785b0 --- /dev/null +++ b/.github/workflows/dependency-audit.yml @@ -0,0 +1,27 @@ +name: Dependency audit + +# The audit in pull-request.yml only sees advisories that exist when a PR runs. +# This weekly run catches advisories published later for dependencies nobody +# touched. GitHub notifies the person who last changed the cron line when a +# scheduled run fails. +on: + schedule: + - cron: "41 5 * * 1" + workflow_dispatch: + +permissions: + contents: read + +jobs: + audit: + name: dependency audit + runs-on: ubuntu-24.04 + timeout-minutes: 10 + steps: + - uses: actions/checkout@v7 + with: + persist-credentials: false + - uses: oven-sh/setup-bun@v2 + with: + bun-version: 1.4.4 + - run: bun audit --audit-level=moderate