关于易受攻击的依赖项
漏洞是项目代码中的问题，可能被利用来损害机密性、完整性或者该项目或其他使用其代码的项目的可用性。 漏洞的类型、严重性和攻击方法各不相同。
当代码依赖于具有安全漏洞的包时，这种易受攻击的依赖项可能会导致项目或使用它的人遇到一系列问题。
有漏洞依赖项的检测
GitHub Enterprise Server检测有漏洞的依赖项并发送安全警报：
-
新公告数据每小时从 GitHub.com 同步到 GitHub Enterprise Server。 有关公告数据的更多信息，请参阅“浏览 GitHub Advisory Database 中的安全漏洞”。
-
仓库的依赖关系图发生更改。 例如，当贡献者推送提交以更改其所依赖的包或版本时。 更多信息请参阅“关于依赖关系图”。
有关 GitHub Enterprise Server 可以检测到漏洞和依赖项的生态系统列表，请参阅“支持的包生态系统”。
注：保持清单和锁定文件为最新状态非常重要。 如果依赖关系图不能准确反映您当前的依赖项和版本，则可能错过有关您使用的有漏洞依赖项的警报。 您还可以收到不再使用的依赖项的警报。
对有漏洞的依赖项发出安全警报
您的站点管理员必须启用 您的 GitHub Enterprise Server 实例 的漏洞依赖项的安全警报，然后您才可使用此功能。 更多信息请参阅“为 GitHub Enterprise Server 上易受攻击的依赖项启用安全警报”。
当 GitHub Enterprise Server 发现有漏洞的依赖项时， 我们会发送安全警报给受影响仓库的维护员，其中包含该漏洞的详细说明、项目中受影响文件的链接以及有关修复版本的信息。
注：GitHub Enterprise Server 的安全功能并不要求捕获所有漏洞。 虽然我们一直在努力更新漏洞数据库，生成包含最新信息的警报，但我们无法捕获一切或在保证的时间范围内向您警示已知的漏洞。 这些功能不是要替代人工检查每个依赖项的潜在漏洞或任何其他问题，并且我们建议在必要时咨询安全服务或全面检查漏洞。
访问 安全警报
您可以在仓库的依赖关系图中看到影响特定项目的所有警报。
默认情况下，我们会向具有受影响仓库管理员权限的人员发送安全警报。 GitHub Enterprise Server 从不公开披露在任何仓库中发现的漏洞。
您可以选择 您关注的仓库中安全警报通知的递送方式，以及您接收通知的频率。 更多信息请参阅“配置漏洞依赖项的通知”。