GitHub 报告的依赖项检测结果可能不同于其他工具返回的结果。 这是有原因的，它有助于了解 GitHub 如何确定项目的依赖项。
依赖项图是否只查找清单和锁文件中的依赖项？
依赖项关系图自动包含在环境中明确声明的依赖项的信息。 也就是说，在清单或锁定文件中指定的依赖项。 依赖项图通常还包括过渡依赖项，即使它们没有在锁定文件中指定，也可以通过查看清单文件中的依赖项来实现。
依赖项关系图不自动包含“松散”依赖项。 “宽松”依赖项是指从另一个来源复制并直接或在存档文件（例如 ZIP 或 JAR 文件）中检入仓库的单个文件，而不是在包管理器的清单或锁定文件中引用的文件。
但是，可以使用 依赖项提交 API 将依赖项添加到项目的依赖项关系图中，即使依赖项未在清单或锁定文件中声明，例如在生成项目时解析的依赖项。 使用 依赖项提交 API 提交到项目的依赖项将显示用于提交的检测器以及提交时间。有关 依赖项提交 API 的详细信息，请参阅 使用依赖项提交 API。
检查：是否在存储库清单或锁定文件中未指定组件的依赖项？
依赖项图是否检测使用变量指定的依赖项？
依赖项图在清单被推送到 GitHub 时分析它们。 因此，依赖项图无法访问项目的构建环境，从而无法解析清单中使用的变量。 如果在清单中使用变量指定名称，或指定依赖项的版本（更常见），则该依赖项不会自动包含在依赖项关系图中。
但是，可以使用 依赖项提交 API 将依赖项添加到项目的依赖项关系图中，即使仅当生成项目时才解析依赖项。 有关 依赖项提交 API 的详细信息，请参阅 使用依赖项提交 API。
检查：在清单中缺少的依赖项是否使用变量声明其名称或版本？
是否存在影响依赖项图数据的限制？
是，依赖项关系图在它将处理的清单文件大小、数量和位置方面设有限制。
这些处理限制会影响 GitHub 中显示的依赖项关系图，还会防止创建 Dependabot alerts。
大小超过 10 MB 的清单会被忽略，并且不会生成 Dependabot alerts。
默认情况下，对于每个存储库，GitHub 处理的清单数量不会超过 150 个。 Dependabot 不会为超出此限制的清单生成 Dependabot alerts，并且如果超出此限制，Dependabot alerts 的行为可能不可预测。
如果清单文件存储在其名称通常用于所提供的依赖项的目录中，则不会处理这些文件。 名称与以下正则表达式匹配的目录被视为提供的依赖项目录：
(3rd|[Tt]hird)[-_]?[Pp]arty/(^|/)vendors?/(^|/)[Ee]xtern(als?)?/(^|/)[Vv]+endor/
示例：
- third-party/dependencies/dependency1
- vendors/dependency1
- /externals/vendor1/dependency1
你的依赖项看起来不正确，我该怎么办？
如果项目的依赖项表无法准确表示存储库的清单，你可以触发其依赖项关系图的重新生成。
从存储库的 Dependabot alerts 选项卡中，单击警报列表顶部的 。 从下拉菜单中选择“Refresh Dependabot alerts”。**** 这会将后台任务排队来处理存储库的清单、检测任何新的或已更改的依赖项，并更新警报。
Note
需要具有管理安全警报的权限才能刷新存储库的依赖项关系图。 有关配置此访问权限的详细信息，请参阅 管理存储库的安全和分析设置。 为了进一步降低滥用的可能性，对于每个存储库，“Refresh Dependabot alerts”选项只能每小时触发一次。****
单击“Refresh Dependabot alerts”将仅扫描清单文件。**** 如果依赖项关系图还包含使用 依赖项提交 API 提交的生成时依赖项信息，则重新运行生成和提交依赖项信息的操作或外部进程也会触发存储库依赖项关系图的重新生成。 有关 依赖项提交 API 的详细信息，请参阅 使用依赖项提交 API。
如果对 Maven 使用自动依赖项提交，则推送更新存储库 pom.xml 的提交将触发运行自动提交操作。
在所有情况下，警报列表顶部的时间戳表示上次生成依赖项关系图的时间。