Skip to main content

此版本的 GitHub Enterprise 已停止服务 2023-01-18. 即使针对重大安全问题,也不会发布补丁。 为了获得更好的性能、更高的安全性和新功能,请升级到最新版本的 GitHub Enterprise。 如需升级帮助,请联系 GitHub Enterprise 支持

保护您的仓库

您可以使用许多 GitHub 功能来帮助保护仓库的安全。

Who can use this feature

Repository administrators and organization owners can configure repository security settings.

简介

本指南向您展示如何配置仓库的安全功能。 您必须是仓库管理员或组织所有者才能配置仓库的安全设置。

您的安全需求是仓库独有的,因此您可能不需要启用仓库的每个功能。 有关详细信息,请参阅“GitHub 安全功能”。

某些功能可用于 所有存储库。 使用 GitHub Advanced Security 的企业可以使用其他功能。 有关详细信息,请参阅“关于 GitHub Advanced Security”。

管理对仓库的访问

保护存储库的第一步是建立谁可以查看和修改你的代码。 有关详细信息,请参阅“管理存储库设置”。

从存储库的主页中,单击“ 设置”,然后向下滚动到“危险区域”。

  • 要更改谁可以查看存储库,请单击“更改可见性”。 有关详细信息,请参阅“设置存储库可见性”。

管理依赖关系图

企业所有者可以为企业配置 依赖项关系图和 Dependabot alerts。 有关详细信息,请参阅 “为企业启用依赖项关系图和 “为企业启用 Dependabot ”。

有关详细信息,请参阅“探索存储库的依赖项”。

管理 Dependabot alerts

当 GitHub 在依赖关系图中标识具有漏洞的依赖项时,将生成 Dependabot alerts 。

企业所有者可以为企业配置 依赖项关系图和 Dependabot alerts。 有关详细信息,请参阅 “为企业启用依赖项关系图和 “为企业启用 Dependabot ”。

有关详细信息,请参阅“关于 Dependabot alerts”。

管理依赖项审查

依赖项审查可让您在合并到仓库之前在拉取请求中显示依赖关系的变化。 有关详细信息,请参阅“关于依赖项审查”。

依赖项审查是一项 GitHub Advanced Security 功能。 要为 存储库启用依赖项审查,请确保已启用依赖项关系图并启用 GitHub Advanced Security。

  1. 从存储库的主页中,单击“设置”。
  2. 单击“安全性和分析”。
  3. 检查是否已为企业配置依赖项关系图。
  4. 如果尚未启用 GitHub Advanced Security,请单击“启用”。

管理 Dependabot security updates

对于任何使用 Dependabot alerts 的仓库,您可以启用 Dependabot security updates 在检测到漏洞时提出带有安全更新的拉取请求。

  1. 从存储库的主页中,单击“设置”。
  2. 单击“安全性和分析”。
  3. 在 Dependabot security updates 旁边,单击“启用”。

有关详细信息,请参阅“关于 Dependabot security updates”和“配置 Dependabot security updates”。

管理 Dependabot version updates

您可以让 Dependabot 自动提出拉取请求以保持依赖项的更新。 有关详细信息,请参阅“关于 Dependabot version updates”。

要启用 Dependabot version updates,必须创建 dependabot.yml 配置文件。 有关详细信息,请参阅“配置 Dependabot 版本更新”。

配置 code scanning

可以使用 CodeQL analysis workflow 或第三方工具配置 code scanning 以自动识别存储库中存储的代码中的漏洞和错误。有关详细信息,请参阅“为存储库配置 code scanning”。

Code scanning 适用于组织拥有的仓库(如果您的企业使用 GitHub Advanced Security)。

配置 secret scanning

Secret scanning 可用于组织所拥有的存储库,前提是企业使用 GitHub Advanced Security。 可能已为存储库启用 Secret scanning,具体取决于组织的设置。

  1. 从存储库的主页中,单击“设置”。
  2. 单击“安全性和分析”。
  3. 如果尚未启用 GitHub Advanced Security,请单击“启用”。
  4. 在 Secret scanning 旁边,单击“启用”。

设置安全策略

如果你是存储库维护者,最好通过在存储库中创建名为 SECURITY.md 的文件来为存储库指定安全策略。 此文件指示用户在想要报告存储库中的安全漏洞时,如何最好地联系你并与你协作。 可以从存储库的“安全”选项卡查看存储库的安全策略。

  1. 从存储库的主页中,单击“ 安全性”。
  2. 单击“安全策略”。
  3. 单击“开始设置”。
  4. 添加关于项目受支持版本以及如何报告漏洞的信息。

有关详细信息,请参阅“向存储库添加安全策略”。

后续步骤

您可以查看和管理来自安全功能的警报,以解决代码中的依赖项和漏洞。 有关详细信息,请参阅 “查看和更新 Dependabot alerts”、 “管理用于依赖项更新的拉取请求”、“管理存储库的 code scanning”和“管理来自 secret scanning 的警报”。