オープンソース依存関係向けの AutoFix

Aikido Local Scan アカウントは、UI 内で AutoFix にアクセスできません。ローカルで AutoFix を使用したい場合は、IDE プラグインの利用をおすすめします。

Aikido AutoFix は、影響を受けるパッケージをアップグレードすることで、オープンソースの依存関係にある脆弱性を修正するプルリクエストを作成します。アップグレードは常に、問題を解決するために必要な最小バージョンを対象とします。メジャー版よりもマイナー版やパッチ版の更新が優先され、破壊的変更を最小限に抑えます。AutoFix はリポジトリと lockfile ごとに修正をグループ化するため、各 PR は対象が明確でマージしやすい状態に保たれます。場合によっては、1 回のアップグレードで 1 つの脆弱性だけでなく、脆弱性の一群全体が解消されることもあります。

メジャーバージョンのアップグレードが提案されている場合、脆弱性を解消するマイナー版またはパッチ版は存在しません。

AutoFix のオプション

AutoFix では、脆弱性を 2 つの方法で修正できます：

トップレベルの依存関係を更新 脆弱性の原因となっているトップレベルの依存関係を特定し、アップグレードします。パッケージマネージャーが、脆弱なサブ依存関係の正しいバージョンを自動的に解決します。これはデフォルトかつ推奨の方法で、JavaScript、.NET、Java、Kotlin、Python に対応しています。
依存関係にオーバーライドを追加 脆弱なサブ依存関係を特定の修正済みバージョンに固定します。これは、たとえばメジャー版の更新が破壊的変更になるため、トップレベルの依存関係をまだアップグレードできない場合に有用です。

3つ目の選択肢は、 Aikido Libraries ドロップイン置換を使用することです。詳細はこちら.