リポジトリの依存関係を調べる

依存関係グラフの表示

依存関係グラフには、リポジトリの依存関係 および依存 が表示されます。
依存関係ごとに、バージョン、ライセンス情報、それを含むマニフェスト ファイル、既知の脆弱性があるかどうかを確認できます。 推移的な依存関係をサポートするパッケージ エコシステムの場合、リレーションシップの状態が表示され、[] をクリックしてから [Show paths] をクリックすると、その依存関係の基になっている推移パスを確認できます。

検索バーを使用して、特定の依存関係を検索することもできます。 依存関係は、脆弱なパッケージが先頭になるように自動的に並べ替えられます。 依存関係の検出とサポートされているエコシステムの詳細については、 AUTOTITLE を参照してください。

1. GitHub で、リポジトリのメイン ページに移動します。

2. リポジトリ名の下にある [ Insights] をクリックします。

   

3. 左側のサイドバーで、 [Dependency graph] (依存関係グラフ) をクリックします。

   

4. 必要に応じて、検索バーを使って、特定の依存関係または一連の依存関係を検索します。 キーワード ecosystem: を使用して特定の種類のパッケージのみを表示したり、relationship: を使用して直接の依存関係や推移的な依存関係 (エコシステムが推移性をサポートしている場合) のみを表示したりすることができます。 検索バーに平易な単語を入力すると、パッケージ名のみが一致します。

5. 必要に応じて、リポジトリとリポジトリに依存するパッケージを表示するには、[依存関係グラフ] の下にある [依存] をクリックします。

   

   メモ

   GitHub 現在、パブリック リポジトリの依存のみを決定します。

依存関係ビュー

依存関係ごとに、そのエコシステム、見つかったマニフェスト ファイル、そのライセンス (検出された場所) を確認できます。

• プライベート リポジトリ、プライベート パッケージ、認識できないファイルの依存関係は、プレーン テキストで表示されます。

• 依存関係のパッケージ マネージャーがパブリック リポジトリにある場合は、依存関係名をポイントして、関連付けられているリポジトリ情報を含むポップアップを表示できます。

• 検索バーにフィルターを key:value ペアとして入力することで、依存関係を並べ替えたりフィルター処理したりすることができます。

  • ecosystem: <ecosystem-name>を使用して、選択したエコシステムの依存関係を表示します。
  • relationship: を使用して、リレーションシップの状態で一覧をフィルター処理します。 有効な値は direct、transitive、inconclusive です。 または、依存関係名の横にあるリレーションシップ ラベルをクリックして、リレーションシップの状態が同じ依存関係のみを表示することもできます。 このフィルターは、推移的な依存関係をサポートするエコシステムでのみ使用できます。 詳細については、 依存関係グラフがサポートされるパッケージ エコシステム を参照してください。

依存関係送信 APIを使用してプロジェクトに送信された依存関係は、送信に使用された検出機能と、それらがいつ送信されたかを示します。 依存関係送信 APIの使用方法の詳細については、依存関係サブミッション API を使用する を参照してください。

リポジトリで脆弱性が検出された場合は、 Dependabot alertsにアクセスできるユーザーのビューの上部に表示されます。

依存ビュー

パブリックリポジトリの場合、他のリポジトリによってどう使用されているかが、依存ビューに表示されます。 パッケージ マネージャーでライブラリを含むリポジトリのみを表示するには、依存リポジトリの一覧のすぐ上にある [NUMBER Packages](数値 個のパッケージ) をクリックします。 依存の数は概数であり、リストされている依存と一致しないことがあります。

詳細については、次を参照してください。

• 依存関係グラフのトラブルシューティング
• 依存関係グラフ
• Dependabot アラートの表示と更新
• GitHub 個人用アカウントとパブリック リポジトリのアーカイブ