Skip to main content
We publish frequent updates to our documentation, and translation of this page may still be in progress. For the most current information, please visit the English documentation.

Sobre a análise de dependência

A análise de dependências permite que você capture dependências não seguras antes que elas sejam introduzidas no ambiente e fornece informações sobre licença, dependências e idade das dependências.

A revisão de dependência está incluída no GitHub Enterprise Cloud em repositórios públicos. Para usar a revisão de dependência em repositórios privados pertencentes às organizações, você precisa ter uma licença do GitHub Advanced Security. Para obter mais informações, confira "Sobre o GitHub Advanced Security".

Sobre a análise de dependência

Revisão de dependências ajuda você a entender as alterações de dependência e o impacto de segurança dessas alterações em cada pull request. Ele fornece uma visualização facilmente compreensível de mudanças de dependência, com um diff avançado na aba "Arquivos alterados" de uma solicitação de pull. A revisão de dependências informa você:

  • Quais dependências foram adicionadas, removidas ou atualizadas, junto com as datas de versão.
  • Quantos projetos usam esses componentes.
  • Dados de vulnerabilidade para essas dependências.

Se um pull request for direcionado ao branch padrão do seu repositório e contiver alterações em manifestos de pacote ou arquivos de bloqueio, você poderá exibir um comentário de dependência para ver o que foi alterado. A revisão de dependências inclui detalhes de alterações nas dependências indiretas nos arquivos de bloqueio, e informa a você se alguma das dependências adicionadas ou atualizadas contém vulnerabilidades conhecidas.

Às vezes, você pode apenas querer atualizar a versão de uma dependência em um manifesto e gerar um pull request. No entanto, se a versão atualizada desta dependência direta também atualizou as dependências, seu pull request pode ter mais alterações do que o esperado. A revisão de dependência para cada manifesto e arquivo de bloqueio fornece uma maneira fácil de ver o que foi alterado e se alguma das novas versões de dependências contém vulnerabilidades conhecidas.

Ao verificar as revisões de dependências em um pull request e alterar todas as dependências sinalizadas como vulneráveis, você pode evitar que vulnerabilidades sejam adicionadas ao seu projeto. Para obter mais informações sobre como funciona a revisão de dependência, confira "Como revisar alterações de dependência em uma solicitação de pull".

Para obter mais informações sobre como configurar a revisão de dependência, confira "Configurando a revisão de dependência".

Dependabot alerts encontrará vulnerabilidades que já estão nas suas dependências, mas é muito melhor evitar a introdução de possíveis problemas do que corrigir problemas em uma data posterior. Para obter mais informações sobre os Dependabot alerts, confira "Sobre os Dependabot alerts".

A revisão de dependências é compatível com as mesmas linguagens e os mesmos ecossistemas de gestão de pacotes do gráfico de dependência. Para obter mais informações, confira "Sobre o grafo de dependência".

Para obter mais informações sobre os recursos da cadeia de fornecedores disponíveis no GitHub Enterprise Cloud, confira "Sobre a segurança da cadeia de fornecedores".

Habilitar revisão de dependências

O recurso de revisão de dependências é disponibilizado quando você habilitar o gráfico de dependências. Para obter mais informações, confira "Como habilitar o grafo de dependência".

Imposição da revisão de dependência

A ação está disponível para todos os repositórios públicos, bem como para repositórios privados que têm o GitHub Advanced Security habilitado.

É possível usar o dependency review action no repositório para impor revisões de dependência em solicitações de pull. A ação examina versões vulneráveis de dependências introduzidas por alterações de versão do pacote em solicitações de pull e avisa você sobre as vulnerabilidades de segurança associadas. Isso oferece uma melhor visibilidade do que está mudando em uma solicitação de pull e ajuda a evitar que vulnerabilidades sejam adicionadas ao repositório. Para obter mais informações, confira dependency-review-action.

Exemplo de ação de revisão de dependência

Por padrão, a verificação do dependency review action falhará se descobrir pacotes vulneráveis. Uma verificação com falha impede que uma solicitação de pull seja mesclada quando o proprietário do repositório exigir que a verificação de análise de dependência seja aprovada. Para obter mais informações, confira "Sobre os branches protegidos".

A ação usa a API REST de Revisão de Dependência para obter a comparação das alterações de dependência entre o commit base e o commit principal. Use a API de Revisão de Dependência para obter a comparação das alterações de dependência, incluindo dados de vulnerabilidade, entre os dois commits em um repositório. Para obter mais informações, confira "Revisão de dependência".

É possível configurar o dependency review action de acordo com suas necessidades. Por exemplo, você pode especificar o nível de severidade que fará a ação falhar ou definir uma lista de permissões e negações para que as licenças sejam verificadas. Para obter mais informações, confira "Como configurar a análise de dependência".