의존성 보안: npm audit + Snyk + Renovate

2024년 통계:
- 평균 프로젝트 1500+ 의존성
- 공급망 공격 (supply chain) 급증
- log4shell·left-pad 사례

→ 자동화 없이는 관리 불가능

# 검사
pnpm audit
npm audit


# 자동 수정 (가능한 것만)
pnpm audit --fix
npm audit fix


# 심각도 필터
npm audit --audit-level=moderate


# CI 통합
pnpm audit --audit-level=high && pnpm test

# 무료 plan
pnpm dlx snyk auth
pnpm dlx snyk test
pnpm dlx snyk monitor


# 자동 PR
pnpm dlx snyk fix


# CI
pnpm dlx snyk test --severity-threshold=high


# license 검사
pnpm dlx snyk test --print-deps

# .github/dependabot.yml
version: 2
updates:
  - package-ecosystem: npm
    directory: /
    schedule:
      interval: weekly
      day: monday
    open-pull-requests-limit: 10
    versioning-strategy: increase
    groups:
      production:
        dependency-type: production
      development:
        dependency-type: development
    ignore:
      - dependency-name: react
        update-types: ['version-update:semver-major']
    commit-message:
      prefix: chore
      include: scope


  # GitHub Actions 자동 업데이트
  - package-ecosystem: github-actions
    directory: /
    schedule:
      interval: weekly

// renovate.json
{
  "extends": ["config:recommended"],
  "schedule": ["before 9am on monday"],
  "labels": ["dependencies"],
  "rangeStrategy": "bump",
  "packageRules": [
    {
      "matchUpdateTypes": ["patch", "minor"],
      "automerge": true,
      "automergeType": "branch"
    },
    {
      "matchPackagePatterns": ["^@types/"],
      "groupName": "type definitions",
      "automerge": true
    },
    {
      "matchPackageNames": ["next", "react", "react-dom"],
      "groupName": "Next.js + React",
      "schedule": ["before 9am on monday"]
    }
  ],
  "vulnerabilityAlerts": {
    "labels": ["security"],
    "automerge": true
  }
}

# CycloneDX
pnpm dlx @cyclonedx/cyclonedx-npm --output sbom.json


# Syft
syft . -o cyclonedx-json > sbom.json


# → 사용 중인 모든 의존성·버전 목록
# → 컴플라이언스 (SOC 2, ISO 27001)
# → 취약점 발생 시 영향 평가

[정기]
☐ pnpm audit 매주
☐ Dependabot/Renovate PR 검토
☐ Snyk monitor 활성

[CI]
☐ npm audit --audit-level=high (필수)
☐ Snyk test (선택)
☐ 라이선스 검사 (license-checker)

[정책]
☐ lockfile commit (pnpm-lock.yaml)
☐ exact version 또는 ~minor only
☐ 알 수 없는 maintainer 패키지 회피
☐ 큰 의존성은 자체 구현 검토

# license-checker
pnpm dlx license-checker --summary

# 결과
├─ MIT: 1234
├─ ISC: 456
├─ Apache-2.0: 78
├─ BSD-3-Clause: 23
└─ GPL-3.0: 1  ⚠️  (commercial 위험)


# 정책 적용
pnpm dlx license-checker --onlyAllow "MIT;ISC;Apache-2.0;BSD-3-Clause"
# → 다른 라이선스 발견 시 실패

1. Lockfile 항상 commit
   pnpm-lock.yaml / package-lock.json

2. CI에 frozen install
   pnpm install --frozen-lockfile

3. 큰 변경은 수동 검토
   - major version
   - 새 maintainer
   - permission 변경

4. 알려진 위험 패키지 차단
   - .npmrc에 deny list
   - 또는 사내 registry (Verdaccio)

5. Dependency confusion 방어
   - scoped packages (@my-org/...)
   - private registry로 차단

// GitHub Security Alerts → Slack
// .github/workflows/security-alert.yml

on:
  security_advisory: { types: [published] }

jobs:
  notify:
    runs-on: ubuntu-latest
    steps:
      - uses: 8398a7/action-slack@v3
        with:
          status: custom
          custom_payload: |
            {
              text: "🚨 New security advisory: ${{ github.event.security_advisory.summary }}"
            }
        env:
          SLACK_WEBHOOK_URL: ${{ secrets.SLACK_WEBHOOK_URL }}