開発の「見えない穴」を塞ぐ：cargo-denyで守るRustプロジェクトの品質とセキュリティ
こんにちは。エンジニアリングの現場では、開発スピードと同じくらい「信頼性の担保」が重要です。特にRustのようなエコシステムが活発な言語では、外部ライブラリ（クレート）への依存は避けられません。しかし、その中身を一つひとつ人間がチェックするのは不可能です。
そこで今回は、商用プロダクトを守るための最強のゲートキーパー「cargo-deny」についてお話しします。これをCI/CDに組み込むだけで、あなたのプロジェクトは「ライセンス違反」や「脆弱性混入」のリスクから解放されます。
—
1. なぜ「cargo-deny」が必要なのか？
Rustのパッケージマネージャである`cargo`は非常に優秀ですが、デフォルトでは「ライセンスの整合性」や「依存先の品質」までは管理してくれません。
もし、意図せず「GPLなどの厳しいライセンス」を持つクレートを商用製品に組み込んでしまったら？ あるいは、既知の脆弱性があるクレートに依存し続けてしまったら？ 開発の終盤でこれに気づくのは致命的です。
`cargo-deny`は、「依存関係のグラフを解析し、あらかじめ決めたルールに違反するクレートをビルド時に遮断する」ツールです。いわば、プロジェクトの門番です。
—
2. インストールとセットアップ
まずはツールを手元に用意しましょう。以下のコマンドでインストール可能です。
cargo-denyをインストール
cargo install cargo-deny
インストールが終わったら、プロジェクトのルートディレクトリで初期設定を行います。
設定ファイルの雛形を作成
cargo-deny init
このコマンドを実行すると、`deny.toml`というファイルが生成されます。ここが、あなたのプロジェクトの「憲法」となります。
—
3. 「現場で震えるほど役立つ」deny.tomlの最適解
`deny.toml`を開くと、デフォルトで多くの設定が記述されています。しかし、商用開発で本当に重要なのは「ライセンス管理」と「脆弱性チェック」の2点に絞り込むことです。
以下に、実務でそのまま使える推奨設定を提示します。
ライセンスのチェック設定
[licenses]
許可するライセンスのリスト（商用ならMITやApache-2.0が定石）
allow = [“MIT”, “Apache-2.0”]
許可しないライセンスを指定（ここではGPL系を厳格に弾く）
deny = [“GPL-3.0”, “AGPL-3.0”]
未知のライセンスのクレートを見つけた場合にどうするか（warn/deny）
unlicensed = “deny”
脆弱性のチェック設定
[advisories]
RustSec Advisory Database を自動的に取得してチェックする
vulnerability = “deny” # 脆弱性が見つかればビルドを失敗させる
ignore = [] # 特定の警告を無視したい場合はここにIDを書く
なぜこの設定が強力なのか？
- `unlicensed = “deny”`: 世の中にはライセンス情報が空のクレートが存在します。これを放置すると法的リスクになりますが、この設定により「ライセンス不明なクレートは絶対に使わせない」という強力なガードが機能します。
- `vulnerability = “deny”`: RustSecデータベースと照合し、脆弱性が報告されているバージョンを使っている場合は、即座にCIを止めてアラートを出します。
—
4. 精度高い「HelloWorld」的動作確認
設定が正しいかを確認するために、一度チェックを実行してみましょう。
依存関係のチェックを実行
cargo deny check
もしプロジェクト内に許可外のライセンスや、脆弱性のあるクレートがあれば、以下のような詳細なレポートが表示されます。
error: license for crate ‘some-dangerous-lib’ not allowed
–> …/Cargo.lock
|
= reason: license ‘GPL-3.0’ is not in the allowed list
これが表示されれば、あなたのゲートキーパーは完璧に機能しています。あとはこれを、GitHub ActionsなどのCIパイプラインのステップに追加するだけです。
.github/workflows/ci.yml の例
- name: Cargo deny check
run: cargo deny check
—
最後に：なぜこれが開発効率を劇的に上げるのか
「セキュリティチェックが厳しくなると開発が遅くなるのでは？」と感じるかもしれません。しかし、現実は逆です。
「後からバグやライセンス違反が見つかり、全社を巻き込んで謝罪・修正を行う」という最悪のコストを、開発の初期段階（コミット時やCI）でゼロに抑えることができます。
`cargo-deny`は、あなたの背中を守る盾です。一度設定してしまえば、あとはRustの高速なコンパイルと堅牢な型安全性を信じて、心ゆくまで創造的なコードを書くことに集中してください。
迷っている暇はありません。今日、あなたのプロジェクトにこの「門番」を立たせてみませんか？ それが、プロフェッショナルとしての第一歩です。