À propos du graphe de dépendances
Le graphe des dépendances est un résumé des manifestes et fichiers de verrouillage stockés dans un référentiel et de toutes les dépendances soumises pour le référentiel à l’aide de l’API de soumission de dépendances (bêta). Pour chaque dépôt, il affiche :
- Dépendances, les écosystèmes et les packages dont il dépend
- Les dépendants : les dépôts et packages qui en dépendent
Pour chaque dépendance, vous pouvez voir les informations de licence et la gravité de la vulnérabilité. Vous pouvez également rechercher une dépendance spécifique à partir de la barre de recherche. Les dépendances sont triées automatiquement par gravité de vulnérabilité.
Pour plus d’informations, consultez « À propos du graphe de dépendances ».
À propos de la configuration du graphe de dépendances
Pour générer un graphe de dépendances, GitHub Enterprise Cloud a besoin d’un accès en lecture seule aux fichiers de verrouillage et manifeste de dépendance d’un référentiel. Le graphe de dépendances est généré automatiquement pour tous les dépôts publics et vous pouvez choisir de l’activer pour les dépôts privés. Pour plus d’informations sur l’affichage du graphe des dépendances, consultez « Exploration des dépendances d’un dépôt ».
Par ailleurs, vous pouvez utiliser l’API d’envoi de dépendances (version bêta) pour envoyer des dépendances à partir du gestionnaire de package ou de l’écosystème de votre choix, même si l’écosystème n’est pas pris en charge par le graphe des dépendances pour l’analyse des fichiers manifeste ou de verrouillage. Les dépendances envoyées à un projet avec l’API d’envoi de dépendances (version bêta) indiquent le détecteur qui a été utilisé pour leur envoi et quand elles ont été envoyées. Pour plus d’informations sur l’API d’envoi de dépendances, consultez « Utilisation de l’API de soumission de dépendances ».
Vous pouvez également activer le graphe des dépendances pour plusieurs référentiels dans une organisation en même temps. Pour plus d’informations, consultez « Sécurisation de votre organisation ».
Activation et désactivation du graphe de dépendances pour un dépôt privé
Les administrateurs de dépôts peuvent activer ou désactiver le graphe de dépendances pour les dépôts privés.
Vous pouvez également activer ou désactiver le graphe de dépendances pour tous les dépôts appartenant à votre compte d’utilisateur ou organisation. Pour plus d’informations, consultez « Configuration du graphe de dépendances ».
-
Dans GitHub.com, accédez à la page principale du dépôt.
-
Sous le nom de votre dépôt, cliquez sur Paramètres. Si vous ne voyez pas l’onglet « Paramètres », sélectionnez le menu déroulant , puis cliquez sur Paramètres.
-
Dans la section « Sécurité » de la barre latérale, cliquez sur Sécurité et analyse du code.
-
Lisez le message sur l’octroi à GitHub Enterprise Cloud de l’accès en lecture seule aux données du dépôt pour activer le graphe de dépendances, puis en regard de « Graphe de dépendances », cliquez sur Activer.
Vous pouvez désactiver le graphe des dépendances à tout moment en cliquant sur Désactiver à côté de « Graphe des dépendances » dans la page des paramètres pour« Sécurité et analyse du code ».
Lorsque le graphe de dépendances est activé pour la première fois, tous les fichiers de manifeste et de verrou pour les écosystèmes pris en charge sont analysés immédiatement. Le graphe est généralement rempli en quelques minutes, mais cela peut prendre plus de temps pour les dépôts avec de nombreuses dépendances. Une fois activé, le graphe est automatiquement mis à jour avec chaque poussée vers le dépôt et chaque poussée vers d’autres dépôts dans le graphe.