import { $ } from "bun";

type Node = {
  type: string;
  dependencies: Node[];
  [key: string]: any;
};

// TODO: 任意の値に設定
const OWNER = "koki-develop";
const LIMIT = 500;

const repositories =
  await $`gh repo list ${OWNER} --source --no-archived --limit ${LIMIT} --json owner,name`.json();

for (let i = 0; i < repositories.length; i++) {
  const repository = repositories[i];
  console.log(
    `${repository.owner.login}/${repository.name} (${i + 1}/${repositories.length})`,
  );

  const tree =
    await $`bunx ghatree@latest --repo ${repository.owner.login}/${repository.name} --json`.json();
  traverse(tree, []);
  console.log();
}

function traverse(node: Node, stacks: Node[]) {
  stacks.push(node);
  try {
    // check remote action
    if (node.type === "action" && !node.path?.startsWith(".") && !node.path?.startsWith("docker://")) {
      if (!node.ref || !isFullSHA(node.ref)) {
        console.warn(
          stacks
            .slice(1)
            .map((node) => {
              switch (node.type) {
                case "action":
                  return `${node.repository.owner}/${node.repository.name}${node.path ? `/${node.path}` : ""}${node.ref ? `@${node.ref}` : ""}`;
                default:
                  return node.path;
              }
            })
            .join(" > "),
        );
        return;
      }
    }

    for (const dependency of node.dependencies) {
      traverse(dependency, stacks);
    }
  } finally {
    stacks.pop();
  }
}

function isFullSHA(version: string): boolean {
  return /^[a-f0-9]{40}$/i.test(version);
}

$ GITHUB_TOKEN=$(gh auth token) bun run ./index.ts

内部的には ghatree を使っており、これにより再帰的な依存アクションのチェックができる。

例えば cli/gh-extension-precompile アクションは内部的に actions/setup-go@v5 ( SHA 固定されてない ) を使ってるが、そういうのも検知できる。

SHA 固定していない GitHub Action に依存しているワークフローを出力する Bun Shell