我们经常发布文档更新,此页面的翻译可能仍在进行中。有关最新信息,请访问英文文档。如果此页面上的翻译有问题,请告诉我们

关于易受攻击的依赖项的警报

当我们检测到影响仓库的漏洞时,GitHub 将会发送 Dependabot 警报。

本文内容

关于易受攻击的依赖项

漏洞是项目代码中的问题,可能被利用来损害机密性、完整性或者该项目或其他使用其代码的项目的可用性。 漏洞的类型、严重性和攻击方法各不相同。

当代码依赖于具有安全漏洞的包时,这种易受攻击的依赖项可能会导致项目或使用它的人遇到一系列问题。

有漏洞依赖项的检测

Dependabot 在以下情况下检测有漏洞的依赖项并发送 Dependabot 警报:

此外, GitHub 可以查看在针对仓库默认分支的拉取请求中添加、更新或删除的任何依赖项,并标记任何将漏洞引入项目的变化。 这允许您在易受攻击的依赖项到达您的代码库之前发现并处理它们,而不是事后处理。 更多信息请参阅“审查拉取请求中的依赖项更改”。

有关 GitHub 可以检测到漏洞和依赖项的生态系统列表,请参阅“支持的包生态系统”。

注:保持清单和锁定文件为最新状态非常重要。 如果依赖关系图不能准确反映您当前的依赖项和版本,则可能错过有关您使用的有漏洞依赖项的警报。 您还可以收到不再使用的依赖项的警报。

有漏洞依赖项的 Dependabot 警报

GitHub 默认会检测公共仓库中有漏洞的依赖项并生成 Dependabot 警报。 私有仓库的所有者或具有管理员权限的人员可以通过为其仓库启用依赖关系图和 Dependabot 警报 来启用 Dependabot 警报。

您也可以为用户帐户或组织拥有的所有仓库启用或禁用 Dependabot 警报。 For more information, see "Managing security and analysis settings for your user account" or "Managing security and analysis settings for your organization."

For information about permission requirements for actions related to Dependabot 警报, see "Repository permission levels for an organization."

GitHub 将立即开始生成依赖关系图,并在发现任何有漏洞的依赖项后立即生成警报。 依赖关系图通常在几分钟之内填充,但对于依赖项很多的仓库,可能需要更长时间。 更多信息请参阅“管理私有仓库的数据使用设置”。

当 GitHub 发现易受攻击的依赖项时,我们会生成 Dependabot 警报,并显示在仓库的 Security(安全)选项卡上。 该警报包括指向项目中受影响的文件的链接,以及有关修复的版本的信息。 GitHub 还根据受影响仓库的管理员的通知首选项向他们通知新的警报。 更多信息请参阅“为易受攻击的依赖项配置通知”。

对于已启用 Dependabot 安全更新 的仓库,警报中还包含一个拉取请求链接,用于将清单或锁定文件更新到能解决该漏洞的最小版本。 更多信息请参阅“关于 Dependabot 安全更新”。

:GitHub 的安全功能并不要求捕获所有漏洞。 虽然我们一直在努力更新漏洞数据库,生成包含最新信息的警报,但我们无法捕获一切或在保证的时间范围内向您警示已知的漏洞。 这些功能不是要替代人工检查每个依赖项的潜在漏洞或任何其他问题,并且我们建议在必要时咨询安全服务或全面检查漏洞。

访问 Dependabot警报

您可以在 仓库的 Security(安全)选项卡或 仓库的依赖关系图 中查看影响特定项目的所有警报。更多信息请参阅“查看和更新仓库中的漏洞依赖项”。

默认情况下,我们会向对受影响仓库具有管理员权限的人员通知新 Dependabot 警报。

您可以选择传送您所关注的仓库中Dependabot 警报的方式,以及您接收通知的频率。

您还可以查看与 GitHub Advisory Database 中的特定漏洞对应的 Dependabot 警报。 更多信息请参阅“浏览 GitHub Advisory Database 中的安全漏洞”。

延伸阅读

此文档对您有帮助吗?

Privacy policy

帮助我们创建出色的文档!

所有 GitHub 文档都是开源的。看到错误或不清楚的内容了吗?提交拉取请求。

做出贡献

或, 了解如何参与。