종속성 그래프에서 지원되는 패키지 에코시스템

종속성 그래프 정보

종속성 그래프는 리포지토리에 저장된 매니페스트 및 잠금 파일과 종속성 제출 API을(를) 사용하여 리포지토리에 대해 제출된 모든 종속성을 요약한 것입니다. 각 리포지토리에 대해 다음이 표시됩니다 리포지토리가 의존하는 종속성, 즉 에코시스템 및 패키지.

각 종속성에 대해 취약성 심각도를 확인할 수 있습니다. 검색 표시줄을 사용하여 특정 종속성을 검색할 수도 있습니다. 종속성은 취약성 심각도에 따라 자동으로 정렬됩니다.

GitHub Enterprise Server은(는) 종속성에 대한 라이선스 정보를 검색하지 않으며 종속성, 리포지토리 및 리포지토리에 의존하는 패키지에 대한 정보를 계산하지 않습니다. 자세한 내용은 종속성 그래프 정보을(를) 참조하세요.

이 문서에서는 지원되는 에코시스템을 확인할 수 있습니다.

지원되는 패키지 에코시스템

권장되는 형식은 모든 직접 및 모든 간접 종속성에 사용되는 버전을 명시적으로 정의합니다. 이러한 형식을 사용하는 경우 종속성 그래프가 더 정확해집니다. 또한 현재 빌드 설정을 반영하고 종속성 그래프가 직접 및 간접 종속성 모두에서 취약성을 보고할 수 있도록 합니다.

패키지 관리자	언어	권장 형식	지원되는 모든 형식
Cargo	Rust	Cargo.lock	Cargo.toml: Cargo.lock
작성기	PHP	composer.lock	composer.json: composer.lock
NuGet	.NET 언어(C#, F#, VB), C++	.csproj, .vbproj, .nuspec, .vcxproj, .fsproj	.csproj, .vbproj, .nuspec, .vcxproj, .fsproj, packages.config
GitHub Actions 워크플로	YAML	.yml: .yaml	.yml: .yaml
Go 모듈	Go	go.mod	go.mod
Maven	Java, Scala	pom.xml	pom.xml
npm	JavaScript	package-lock.json	package-lock.json: package.json
pip	Python	requirements.txt: pipfile.lock	requirements.txt, pipfile, pipfile.lock, setup.py
pnpm	JavaScript	pnpm-lock.yaml	package.json: pnpm-lock.yaml
pub	Dart	pubspec.lock	pubspec.yaml: pubspec.lock
Python Poetry	Python	poetry.lock	poetry.lock: pyproject.toml
RubyGems	Ruby	Gemfile.lock	Gemfile.lock, Gemfile, *.gemspec
Swift 패키지 관리자	Swift	Package.resolved	Package.resolved
Yarn	JavaScript	yarn.lock	package.json: yarn.lock

종속성 제출 작업을 통해 지원되는 패키지 에코시스템

종속성 제출 API을 사용하여 빌드 시간 종속성을 종속성 그래프에 추가하거나 위의 지원되는 에코시스템 목록에 없는 에코시스템이더라도 원하는 패키지 관리자 및 에코시스템의 종속성을 종속성 그래프에 추가할 수 있습니다. 이러한 제출된 종속성의 종속성 정보는 Dependabot updates 및 Dependabot alerts으로 차례로 전달됩니다.

종속성 제출 API을(를) 사용하여 프로젝트에 제출된 종속성은 제출에 사용된 감지기 및 제출된 시점을 표시합니다. 종속성 제출 API에 대한 자세한 내용은 종속성 제출 API 사용을(를) 참조하세요.

GitHub Actions 워크플로에서 대부분의 경우 종속성 제출 API을(를) 사용하여 프로젝트를 빌드할 때 프로젝트에 대한 종속성을 제출합니다. 종속성 제출 API을(를) 사용하는 가장 간단한 방법은 종속성 목록을 수집하고 필요한 스냅샷 형식으로 변환한 후 목록을 API에 제출하는 미리 만들어진 작업을 리포지토리에 추가하는 것입니다. 아래 표에서 현재 사용할 수 있는 작업에 대한 링크를 찾을 수 있습니다.

에코시스템	작업
Go	Go 종속성 제출
Gradle	그레이들 종속성 제출
Maven	Maven 종속성 트리 종속성 제출
제분기	Mill 종속성 제출
Scala	Sbt 종속성 제출
NuGet 및 기타	구성 요소 감지 종속성 제출 작업

예를 들어 다음 Go 종속성 제출 워크플로는 Go 빌드 대상(main 함수를 포함하는 Go 파일)에 대한 종속성을 계산하고 해당 목록을 종속성 제출 API에 제출합니다.

name: Go Dependency Submission
on:
  push:
    branches:
      - main

# The API requires write permission on the repository to submit dependencies
permissions:
  contents: write

# Environment variables to configure Go and Go modules. Customize as necessary
env:
  GOPROXY: '' # A Go Proxy server to be used
  GOPRIVATE: '' # A list of modules are considered private and not requested from GOPROXY
jobs:
  go-action-detection:
    runs-on: ubuntu-latest
    steps:
      - name: 'Checkout Repository'
        uses: actions/checkout@v4

      - uses: actions/setup-go@v5
        with:
          go-version: ">=1.18.0"

      - name: Run snapshot action
        uses: actions/go-dependency-submission@v1
        with:
            # Required: Define the repo path to the go.mod file used by the
            # build target
            go-mod-path: go-example/go.mod
            #
            # Optional. Define the repo path of a build target,
            # a file with a `main()` function.
            # If undefined, this action will collect all dependencies
            # used by all build targets for the module. This may
            # include Go dependencies used by tests and tooling.
            go-build-target: go-example/cmd/octocat.go

작업을 직접 만들 수도 있습니다. 자세한 내용은 종속성 제출 API 사용을(를) 참조하세요.