github / github/dependency-submission-toolkit

Add a field for dependency resolution errors

オープン
#78 コメント 1 件 リアクション 0 件 担当者 0 名 GitHub で見る
主要言語
TypeScript
スター
62
フォーク
18
PR マージ指標
30日以内にマージされた PR はありません

説明

First of all, I'm sorry if this is not the right place to file this as it's more about the JSON schema for the submissions API, but I could not find a more fitting project to file this for.

Coming from [here](https://github.com/gradle/github-dependency-graph-gradle-plugin/issues/140) my ask is to add a field to the [JSON body of the submission API](https://docs.github.com/en/rest/dependency-graph/dependency-submission?apiVersion=2022-11-28#create-a-snapshot-of-dependencies-for-a-repository) that can be used to document any failures during dependency resolution.

Because currently, there seems to be no way to indicate to the API that the dependency resolution process that created the JSON might have been unable to resolve some dependencies (maybe due to temporary network issues), and thus the list of submitted dependencies might be incomplete. This is a problem if the user relies on the dependencies and resulting SBOM to be complete. On the other hand, not submitting the dependency graph at all if just a single dependency failed to resolve (maybe also due to misconfiguration on the project side) is probably not a good solution either.

So IMO the best solution is to simply be transparent and allow the dependency resolver to say so if there were any issues in dependency resolution. The GitHub web UI could then show these errors as part of the dependency graph so that he user knows to take the results "with a grain of salt".

コントリビューションガイド

コントリビューションガイドを開く

調査の方向性

まず、issue にリンクされている JSON body と dependency-submission API のドキュメントを確認し、次に関連する Gradle plugin issue を読んでください。不完全な submission を区別できるように、依存関係の解決失敗をどのように表現し、通知すべきかを判断してください。スキーマと期待される動作について合意し、文書化できた時点で作業は完了です。

索引モデルが issue の本文から書いたものです。

評価

技術スタック
typescript
領域
api, backend-api-design
issue の種類
機能追加
難易度
5/5
見積もり時間
1週間以上
活発さ
停滞
明瞭さ
おおむね明確
初心者へのやさしさ
30/100

新しい issue をメールで受け取る

初心者向けの GitHub issue を短くまとめたダイジェスト。