Sobre Regras de triagem automática do Dependabot
As Regras de triagem automática do Dependabot permitem instruir o Dependabot a triar automaticamente Dependabot alerts. Você pode usar Regras de triagem automática para automaticamente ignorar ou colocar em ociosidade os alertas para os quais deseja que o Dependabot abra pull requests.
Há dois tipos de Regras de triagem automática do Dependabot:
- Predefinições do GitHub
- Regras de triagem automática personalizadas
Sobre Predefinições do GitHub
Predefinições do GitHub para Dependabot alerts são regras que estão disponíveis para todos os repositórios..
Predefinições do GitHub são regras coletadas por GitHub. O Dismiss low impact issues for development-scoped dependencies é uma regra predefinida GitHub. Essa regra interna ignora automaticamente certos tipos de vulnerabilidades encontradas nas dependências do npm usadas no desenvolvimento. A regra foi coletada para reduzir falsos positivos e reduzir a fadiga de alerta. Não é possível modificar Predefinições do GitHub. Para obter mais informações sobre Predefinições do GitHub, consulte "Usar regras predefinidas do GitHub para priorizar alertas do Dependabot".
A regra está habilitada por padrão para repositórios públicos e pode ser ativada para repositórios privados. Você pode habilitar a regra para um repositório privado via guia Configurações do repositório. Para obter mais informações, consulte "Como habilitar a regra Dismiss low impact issues for development-scoped dependencies para seu repositório privado".
Sobre regras de triagem automática personalizadas
As Regras de triagem automática personalizadas para Dependabot alerts estão disponíveis para os repositórios de propriedade da organização em GitHub Enterprise Server. Esse recurso exige uma licença do GitHub Advanced Security.
Com regras de triagem automática personalizadas, você pode criar suas próprias regras para ignorar ou reabrir alertas automaticamente com base em metadados direcionados, como gravidade nome do pacote e CWE, entre outros. Você pode especificar que regras de alerta deseja Dependabot para abrir pull requests. Para obter mais informações, confira "Personalizando regras de triagem automática para priorizar alertas do Dependebot".
Você pode criar regras personalizadas na guia Configurações do repositório, desde que o repositório pertença a uma organização que tenha uma licença para GitHub Advanced Security. Para obter mais informações, consulte "Adicionando regras de triagem automática personalizadas ao seu repositório".
Sobre alertas de rejeição automática
Embora possa ser útil ignorar automaticamente alertas para utilizar regras de triagem automática, você ainda pode reabrir alertas ignorados automaticamente e filtrar para ver quais alertas foram ignorados automaticamente. Para obter mais informações, confira "Como gerenciar alertas que foram ignorados automaticamente por uma regra de triagem automática do Dependabot".
Além disso, os alertas ignorados automaticamente ainda estão disponíveis para relatórios e análise e poderão ser reabertos automaticamente se os metadados do alerta forem alterados, por exemplo:
- Se você alterar o escopo de uma dependência de desenvolvimento para produção.
- Se o GitHub modificar determinados metadados para o comunicado relacionado.
Os alertas ignorados automaticamente são definidos pelo motivo de encerramento resolution:auto-dismiss. A atividade que ignora alertas automaticamente está incluída em webhooks de alerta, em APIs REST, em APIs do GraphQL e no log de auditoria. Para obter mais informações, consulte "Pontos de extremidade da API REST para o Dependabot alerts" e a seção "repository_vulnerability_alert" em "Revisar o log de auditoria da organização."