Skip to main content

À propos du graphe de dépendances

Vous pouvez utiliser le graphe des dépendances pour identifier toutes les dépendances de votre projet. Le graphe des dépendances prend en charge une gamme d’écosystèmes de packages populaires.

À propos du graphe de dépendances

Le graphe des dépendances est un résumé des fichiers manifest et de verrouillage stockés dans un référentiel et de toutes les dépendances soumises pour le référentiel à l’aide de l’API API de soumission de dépendances (bêta). Pour chaque dépôt, il affiche :

  • Dépendances, les écosystèmes et les packages dont il dépend
  • Les dépendants : les dépôts et packages qui en dépendent

Pour chaque dépendance, vous pouvez voir les informations de licence et la gravité de la vulnérabilité. Vous pouvez également rechercher une dépendance spécifique à partir de la barre de recherche. Les dépendances sont triées automatiquement par gravité de vulnérabilité.

Quand vous poussez (push) vers GitHub Enterprise Cloud un commit qui change un manifeste ou un fichier de verrouillage pris en charge ou l’ajoute à la branche par défaut, le graphe de dépendances est automatiquement mis à jour. En outre, le graphe est mis à jour quand une personne pousse une modification vers le dépôt de l’une de vos dépendances. Pour plus d’informations sur les fichiers manifestes et les écosystèmes pris en charge, consultez « Écosystèmes de packages pris en charge » ci-dessous.

Par ailleurs, vous pouvez utiliser l’API API de soumission de dépendances (bêta) pour soumettre des dépendances à partir du gestionnaire de package ou de l’écosystème de votre choix, même si l’écosystème n’est pas pris en charge par le graphe des dépendances pour l’analyse des fichiers manifest ou de verrouillage. Les dépendances soumises à un projet avec l’API API de soumission de dépendances (bêta) indiquent le détecteur utilisé pour leur soumission et quand elles ont été soumises. Pour plus d’informations sur l’API API de soumission de dépendances, consultez « Utilisation de l’API de soumission de dépendances ».

Quand vous créez une demande de tirage (pull request) contenant des modifications apportées aux dépendances qui cible la branche par défaut, GitHub utilise le graphe de dépendances pour ajouter des révisions de dépendance à la demande de tirage. Celles-ci indiquent si les dépendances contiennent des vulnérabilités et, si c’est le cas, la version de la dépendance dans laquelle la vulnérabilité a été corrigée. Pour plus d’informations, consultez « À propos de la vérification des dépendances ».

Si vous disposez au moins d’un accès en lecture au dépôt, vous pouvez exporter les graphe des dépendances pour le dépôt en tant que nomenclature logicielle compatible SPDX (SBOM), via l’interface utilisateur de GitHub ou l’API REST GitHub. Pour plus d’informations, consultez « Exportation d’une nomenclature logicielle pour votre dépôt ».

Disponibilité du graphe de dépendances

Le graphe des dépendances est généré automatiquement pour tous les dépôts publics. Vous pouvez choisir de l’activer pour les duplications (forks) et pour les dépôts privés. Pour plus d’informations, consultez « Gestion des paramètres de sécurité et d’analyse pour votre dépôt ».

Les administrateurs de dépôts peuvent également configurer le graphe de dépendances pour les référentiels privés. Pour plus d’informations, consultez « Configuration du graphe de dépendances ».

Dépendances incluses

Le graphe des dépendances comprend toutes les dépendances d’un référentiel détaillées dans les fichiers manifest et de verrouillage, ou leur équivalent, pour les écosystèmes pris en charge, ainsi que toutes les dépendances soumises à l’aide de l’API API de soumission de dépendances (bêta). notamment :

  • Dépendances directes explicitement définies dans un fichier manifest ou de verrouillage , ou soumises à l’aide de l’API API de soumission de dépendances (bêta)
  • Les dépendances indirectes de ces dépendances directes, également appelées dépendances transitives ou sous-dépendances

Le graphe des dépendances identifie les dépendances indirectes uniquement si elles sont définies dans un fichier de verrouillage ou ont été soumises à l’aide de l’API API de soumission de dépendances (bêta). Pour que le graphe soit le plus fiable possible, vous devez utiliser des fichiers de verrouillage (ou leur équivalent), car ils définissent exactement les versions des dépendances directes et indirectes que vous êtes en train d’utiliser. Si vous utilisez des fichiers de verrouillage, vous vous assurez également que tous les contributeurs au dépôt utilisent les mêmes versions, ce qui facilite le test et le débogage du code. Si votre écosystème ne comporte pas de fichiers de verrouillage, vous pouvez utiliser des actions prédéfinies qui résolvent les dépendances transitives pour de nombreux écosystèmes. Pour plus d’informations, consultez « Utilisation de l’API de soumission de dépendances ».

Pour plus d’informations sur la façon dont GitHub Enterprise Cloud vous aide à comprendre les dépendances au sein de votre environnement, consultez « À propos de la sécurité de la chaîne d’approvisionnement ».

Éléments dépendants inclus

Dans le cas d’un dépôt public, seuls sont signalés les dépôts publics qui en dépendent ou qui dépendent des packages qu’il publie. Ces informations ne sont pas signalées pour les dépôts privés.

Utilisation du graphe de dépendances

Vous pouvez utiliser le graphe de dépendances pour :

Écosystèmes de packages pris en charge

Les formats recommandés définissent explicitement les versions utilisées pour toutes les dépendances directes et indirectes. Si vous utilisez ces formats, votre graphe des dépendances est plus précis. Cela reflète également la configuration actuelle de la build et permet au graphe de dépendances de signaler les vulnérabilités dans les dépendances directes et indirectes. Les dépendances indirectes déduites d’un fichier manifeste (ou équivalent) sont exclues des recherches de dépendances non sécurisées.

Gestionnaire de packageLangagesFormats recommandésTous les formats pris en charge
CargoRustCargo.lockCargo.toml, Cargo.lock
ComposerPHPcomposer.lockcomposer.json, composer.lock
NuGet.NET languages (C#, F#, VB), C++.csproj, .vbproj, .nuspec, .vcxproj, .fsproj.csproj, .vbproj, .nuspec, .vcxproj, .fsproj, packages.config
GitHub Actions workflowsYAML.yml, .yaml.yml, .yaml
Go modulesGogo.modgo.mod
MavenJava, Scalapom.xmlpom.xml
npmJavaScriptpackage-lock.jsonpackage-lock.json, package.json
pnpmJavaScriptpnpm-lock.yamlpackage.json, pnpm-lock.yaml
pubDartpubspec.lockpubspec.yaml, pubspec.lock
Python PoetryPythonpoetry.lockpoetry.lock, pyproject.toml
RubyGemsRubyGemfile.lockGemfile.lock, Gemfile, *.gemspec
Swift Package ManagerSwiftPackage.resolvedPackage.resolved
YarnJavaScriptyarn.lockpackage.json, yarn.lock

Remarques :

  • Si vous listez vos dépendances Python dans un fichier setup.py, il est possible que nous ne soyons pas en mesure d’analyser et de lister chaque dépendance dans votre projet.

  • Les workflows GitHub Actions doivent se trouver dans le répertoire .github/workflows/ d’un dépôt pour être reconnus en tant que manifestes. Toutes les actions ou workflows référencés avec la syntaxe jobs[*].steps[*].uses ou jobs.<job_id>.uses sont analysés en tant que dépendances. Pour plus d’informations, consultez « Workflow syntax for GitHub Actions ».

  • Dependabot ne créera Dependabot alerts que pour les GitHub Actions vulnérables qui utilisent le contrôle de version sémantique. Vous ne recevrez pas d'alertes pour une action vulnérable qui utilise le contrôle de version SHA. Si vous utilisez GitHub Actions avec le contrôle de version SHA, nous vous recommandons d'activer Dependabot version updates pour votre référentiel ou votre organisation afin que les actions que vous utilisez soient mises à jour avec les dernières versions. Pour en savoir plus, reportez-vous à « À propos des alertes Dependabot » et « À propos des mises à jour de version Dependabot ».

Vous pouvez utiliser l’API API de soumission de dépendances (bêta) pour ajouter des dépendances au graphe des dépendances à partir du gestionnaire de package ou de l’écosystème de votre choix, même si l’écosystème ne figure pas dans la liste des écosystèmes pris en charge ci-dessus. Les dépendances soumises à un projet avec l’API API de soumission de dépendances (bêta) indiquent le détecteur qui a été utilisé pour leur soumission et quand elles ont été soumises.

Vous recevez uniquement des Dependabot alerts pour les dépendances provenant de l’un des écosystèmes pris en charge par GitHub Advisory Database. Pour plus d’informations sur l’API API de soumission de dépendances, consultez « Utilisation de l’API de soumission de dépendances ».

Pour aller plus loin