Upgrade to Pro — share decks privately, control downloads, hide ads and more …

Semantic Version 単位で戦略を柔軟に変えて、パッケージアップデートを自動化する

Sponsored · SiteGround - Reliable hosting with speed, security, and support you can count on.

Semantic Version 単位で戦略を柔軟に変えて、パッケージアップデートを自動化する

2026年6月12日 「【多摩センター開催】多摩.dev #3 〜半年記念回〜」 における登壇資料です。
https://tamadev.connpass.com/event/391266/

Avatar for daitasu

daitasu

June 12, 2026

More Decks by daitasu

Other Decks in Programming

Transcript

  1. 今日話すこと dependabot の PR が滞納する問題 ▸ Semantic Version ごとのマージ戦略の考え方 ▸

    AIレビュー&自動マージするGitHub Action を作った話 ▸ 導入してどう変わったか ▸
  2. パッケージアップデートの滞留問題 dependabot が PR を作ってくれる → しかし、レビュー時間がない ▸ 運用の仕組みの整備の形骸化、誰かしらの勇姿で解決してしまう ▹

    うまく回せても、対応コストが大きい ▹ 放置するほどに、バージョン差異が肥大化 ▸ 重い腰が着実に重たくなり、負債になってしまう ▹ 脆弱性の露出、LTS切れの危険性 ▸
  3. cc-deps-patrol とは Claude Code Action で dependabot PR をパトロールする GitHub

    Action ▸ Semantic Version に応じて4つの戦略を使い分けできる ▸ npm provenance チェック + AI レビューでセキュリティも考慮 ▸ 🔗 github.com/daitasu/cc-deps-patrol ▸
  4. Semantic Version レベルで4つの戦略を選べるように マージ戦略は4つのストラテジーから選択可能 ▸ review-only … AIがレビューコメントのみ残す(マージは しない) ▹

    review-and-merge … AIがレビューを行い、問題ないと 判断した場合は自動マージ ▹ verify-and-merge … 信頼できる開発元かどうかのチェ ックのみ行い、問題なければ自動マージ ▹ auto-merge … AIレビュー、開発元チェックは行わず、自 動マージ(非推奨) ▹ 対応Agent は Claude Code ▸
  5. ① verify-and-merge(patch向け) AI レビューは実施しない(トークン削減) 。開発元の信頼性チェックのみで判断 ▸ 確認項目: ▸ npm provenance(由来検証)/

    install スクリプトの有無 / リリース経過日数 ▹ 後で話しますが、これで安心というわけではないです ▹
  6. 使用例 - uses: daitasu/cc-deps-patrol@v1 with: github-token: ${{ steps.app-token.outputs.token }} anthropic-api-key:

    ${{ secrets.ANTHROPIC_API_KEY }} claude-github-token: ${{ steps.app-token.outputs.token }} patch-strategy: "verify-and-merge" # patch バージョンの戦略 minor-strategy: "review-and-merge" # minor バージョンの戦略 major-strategy: "review-only" # major バージョンの戦略 reviewer-login: "deps-keeper" # github app の名前 review-language: "ja" # レビューコメントの言語 戦略はバージョン種別ごとに柔軟に組み替え可能 ▸
  7. 今回の信頼元チェックは完璧ではない 過信禁物。最低限のスクリーニングに過ぎない 今回は信頼できる開発元のチェックとして、下記を検出した ▸ npm provenance(由来検証)/ install スクリプトの有無 / リリース経過日数

    ▹ npm provenance は「由来の透明性」を証明するだけ ▸ メンテナ認証情報が奪取された場合は防げない(例:🔗2025年9月の chalk/debug 汚染) ▹ install スクリプト検査は回避手法に対応しきれない ▸ 🔗binding.gyp + node-gyp 経由での任意コード実行されるケースも観測されている ▹
  8. まとめ zenn にもよければご参照ください! dependabot PR の滞納はAI で解決できる ▸ Semantic Version

    ごとに戦略を分けるのが肝 ▸ セキュリティは過信せず、最低限のスクリーニング ▸ review-only だけでも十分開発体験が改善する ▸