Skip to main content
Publicamos atualizações frequentes em nossa documentação, e a tradução desta página ainda pode estar em andamento. Para obter as informações mais atualizadas, acesse a documentação em inglês.

Revendo alterações de dependência em um pull request

Se um pull request tiver alterações nas dependências, você poderá ver um resumo do que alterou e se há vulnerabilidades conhecidas em qualquer uma das dependências.

A revisão de dependência está habilitada em repositórios públicos. A revisão de dependência também está disponível em repositórios privados pertencentes a organizações que usam o GitHub Enterprise Cloud e que têm uma licença do GitHub Advanced Security. Para obter mais informações, confira "Sobre o GitHub Advanced Security".

Sobre a análise de dependência

Revisão de dependências ajuda você a entender as alterações de dependência e o impacto de segurança dessas alterações em cada pull request. Ele fornece uma visualização facilmente compreensível de mudanças de dependência, com um diff avançado na aba "Arquivos alterados" de uma solicitação de pull. A revisão de dependências informa você:

  • Quais dependências foram adicionadas, removidas ou atualizadas, junto com as datas de versão.
  • Quantos projetos usam esses componentes.
  • Dados de vulnerabilidade para essas dependências.

Revisão de dependência permite a você "desloque para a esquerda". Você pode usar as informações preditivas fornecidas para capturar dependências vulneráveis antes que elas cheguem à produção. Para obter mais informações, confira "Sobre a revisão de dependência".

É possível usar o dependency review action para impor revisões de dependência em solicitações de pull no repositório. O dependency review action verifica as solicitações de pull em busca de alterações de dependência e gera um erro quando novas dependências têm vulnerabilidades conhecidas. A ação tem o suporte de um ponto de extremidade de API que compara as dependências entre duas revisões e relata as diferenças.

Para obter mais informações sobre a ação e o ponto de extremidade da API, confira a documentação dependency-review-action e a "Análise de dependência" na documentação da API.

É possível configurar o dependency review action de acordo com suas necessidades especificando o tipo de vulnerabilidade de dependência que você deseja capturar. Para obter mais informações, confira "Como configurar a análise de dependência".

Revisar as dependências em um pull request

  1. Abaixo do nome do repositório, clique em Solicitações de pull. Seleção da guia Problemas e solicitações de pull 1. Na lista de solicitações pull, clique na solicitação pull que você quer revisar. 1. Na solicitação de pull, clique em Arquivos alterados. Guia Arquivos alterados da solicitação de pull

  2. Se a solicitação de pull contiver muitos arquivos, use o menu suspenso Filtro de arquivo para recolher todos os arquivos que não registram dependências. Isso fará com que seja mais fácil focar a sua revisão nas alterações de dependência.

    O menu Filtro de arquivo A revisão de dependência fornece uma visão mais clara do que mudou nos arquivos de bloqueio grandes, em que a comparação de origem não é renderizada por padrão.

    Observação: as comparações avançadas de revisão de dependência não estão disponíveis para arquivos JavaScript estáticos confirmados, como jquery.js.

  3. À direita do cabeçalho de um arquivo de manifesto ou de bloqueio, veja a revisão de dependências clicando no botão de comparação avançada .

    Botão de diff avançado

  4. Verifique as dependências listadas na revisão sobre dependências.

    Alertas de vulnerabilidade em revisão de dependências

    Quaisquer dependências adicionadas ou alteradas com vulnerabilidades são listadas primeiro, ordenadas por gravidade e, posteriormente, pelo nome da dependência. Isso significa que as dependências de severidade mais elevadas estão sempre na parte superior de uma revisão de dependência. Outras dependências estão listadas em ordem alfabética pelo nome das dependências.

    O ícone ao lado de cada dependência indica se a dependência foi adicionada (), atualizada () ou removida () nesta solicitação de pull.

    Outras informações incluem:

    • A versão, ou intervalo de versão, da nova dependência, atualizada ou excluída.
    • Para uma versão específica de uma dependência:
      • A idade daquela versão da dependência.
      • O número de projetos que são dependentes deste software. Essa informação é tirada do gráfico de dependências. Verificar o número de dependentes pode ajudar você a evitar adicionar acidentalmente a dependência incorreta.
      • A licença usada por esta dependência, se estas informações estiverem disponíveis. Isso é útil se você desejar evitar o código com certas licenças usadas no seu projeto.

    Quando uma dependência tem uma vulnerabilidade conhecida, a mensagem de aviso inclui:

    • Uma breve descrição da vulnerabilidade.
    • Vvulnerabilidades e Exposições Comuns (CVE) ou um número de identificação de GitHub Security Advisories (GHSA). Você pode clicar nesse ID para saber mais sobre a vulnerabilidade.
    • A gravidade da vulnerabilidade.
    • A versão da dependência na qual a vulnerabilidade foi corrigida. Se você estiver revisando um pull request para alguém, você pode pedir ao contribuidor para atualizar a dependência para a versão corrigida ou para uma versão posterior.
  5. É possível que você também queira revisar o diff da fonte, porque pode haver alterações no manifesto ou arquivo de bloqueio que não mudam as dependências, ou pode haver dependências que GitHub não pode analisar e que, consequentemente, não aparecem na revisão de dependências.

    Para retornar ao modo de exibição de diferenciação de origem, clique no botão .

    Botão de diff de fonte