Gemfile.lockにセキュリティの脆弱性があるというアラートがきているので、解決してみる

[koya-kudaka]

アラートが5件ほど。
全てGemfile.lockからきている。gemの管理関係っぽい。

[koya-kudaka]

一応中身を確認すると

[koya-kudaka]

各gemfileに脆弱性があるので、バージョンアップしろというアラートかな

[koya-kudaka]

GemfileとGemfile.lockがどう違って、どちらのファイルをアップデートすればいいのかわからない。
参考になるサイトがあったので、、、

https://qiita.com/Nash-BETA/items/0d4e876cf9460778b985

bundle update と bundle installの違い
https://qiita.com/lasershow/items/1a048d03ddaaba98171e

[koya-kudaka]

gemfileは、、、
必要なgemを記入しておくと、bundle installを実行したら、記述しているgemでインストールされていないgemのインストールを実行してくれるファイル。

[koya-kudaka]

gemfile.lockは、、、
実際にインストールされているgemを記入していて、そこにバージョンまで記入したファイル。

[koya-kudaka]

アラートで指定された、バージョンをgemfileに記入してbundleインストールを実行して見る。

順序

1
新しいブランチ solve_alert を作成、head

2
特定（一つ）のgemのバージョンを指定されたものに書き換える

3
bundle updateを実行

4
特定（残り）のgemのバージョンを指定されたものに書き換える

5
bundle updateを実行

6
git　
addとcommitを行う

7
masterブランチに移動

8
solve_alertをmasterにマージ

9
git
add, commit, pushを行う

[koya-kudaka]

Gemfileに警告にあったgemがそもそもない。。。
Gemfile.lockにはあるけどな。

とりあえず、bundle updateだけで、バージョン更新できるのか試したけど、変化なし。。。
無理だったからやっぱGemfileにgemとバージョン書くのかな。

[koya-kudaka]

https://qiita.com/lasershow/items/1a048d03ddaaba98171e

この記事通りだと、Gemfile.lockのバージョンを変更するなら、Gemfileを書き換えて(gemがない場合は追加する)、bundle updateを実行するのかな。

とりあえず、今日はもう遅いので明日やってみる！

[koya-kudaka]

やるぞーーーーー！

[koya-kudaka]

なんと！！！railsのバージョンは、actionviewに依存している！！

ていうか、
gem同士に依存関係があるなんて知らなかった。。。。。。。。。

今知れてよかった（汗
意外とめんどくさいぞこの問題。

Kudaka-KouyanoMacBook-ea:sample_app kudaka$ bundle update
The dependency tzinfo-data (>= 0) will be unused by any of the platforms Bundler is installing for. Bundler is installing for ruby but the dependency is only for x86-mingw32, x86-mswin32, x64-mingw32, java. To add those platforms to the bundle, run `bundle lock --add-platform x86-mingw32 x86-mswin32 x64-mingw32 java`.
Fetching gem metadata from https://rubygems.org/............
Fetching gem metadata from https://rubygems.org/.
Resolving dependencies...
Bundler could not find compatible versions for gem "actionview":
  In Gemfile:
    actionview (>= 6.0.3.3)

    rails (= 6.0.3) was resolved to 6.0.3, which depends on
      actionview (= 6.0.3)

[koya-kudaka]

どう解決しよう。。。

[koya-kudaka]

railsのバージョン変更をしてみるか。。。

デフォルトのバージョンに変えてみる。
gem 'rails', '~> 6.0.3', '>= 6.0.3.3'

[koya-kudaka]

おー！
railsのバージョンを更新したら、アラートが４つ一気に解決できた！！！

結果、actionviewとrailsだけ更新したけど、本来なら、railsだけで良かったのかも。。。どうなんだろ。

とりあえず、ラスト一個！