테이블을 이해하기
종속성 그래프는 직접 및 간접(전이적) 종속성을 위해 데이터를 제출하는 다양한 방법을 지원합니다. 종속성 그래프에서 종속성을 인식하는 방법을(를) 참조하세요.
아래 표에:
-
**정적 전이적 종속성** 및 **자동 종속성 제출**은 지원되는 데이터 제출 방법을 보여 줍니다. -
**정적 전이적 종속성** 열은 정적 분석에서 해당 에코시스템의 종속 패키지에 대한 레이블을 `direct` 추가할 `transitive` 지 여부도 나타냅니다. -
**권장 파일** 열은 모든 직접 및 모든 간접 종속성에 사용되는 버전을 명시적으로 정의하는 형식을 제안합니다. 이러한 파일은 빌드에 포함된 패키지 버전을 잠그고 Dependabot이 직접 및 간접 종속성 모두에서 취약한 버전을 찾을 수 있도록 합니다.
지원되는 패키지 에코시스템
| 패키지 관리자 | 언어들 | 정적 전이적 종속성 | 자동 종속성을 제출 | 권장 파일 | 추가 파일 |
|---|---|---|---|---|---|
| 바젤 (미국) | Starlark |
`MODULE.bazel`, `WORKSPACE` |
`MODULE.bazel.lock`, `maven_install.json`, `*.MODULE.bazel` |
| |
| 화물 | 러스트 | | | Cargo.lock | Cargo.toml |
| 작성기 | PHP | | | composer.lock | composer.json |
| 누겟 | .NET 언어(C#, F#, VB), C++ | | 옥티콘 "check" aria-label="Supported" %} |
.csproj, .vbproj, .nuspec, .vcxproj``.fsproj | packages.config |
| GitHub Actions 워크플로우 | YAML | | |
.yml, .yaml | |
| Go 모듈 | 이동 | | | go.mod| |
| Gradle | Java | | 옥티콘 "check" aria-label="Supported" %} | | |
| |
| 줄리아 | 줄리아 | | | Manifest.toml | Project.toml |
| |
| 메이븐 | Java, Scala | 옥티콘 "check" aria-label="Supported" %} | 옥티콘 "check" aria-label="Supported" %} | pom.xml | |
| npm | JavaScript | 옥티콘 "check" aria-label="Supported" %} | | package-lock.json | package.json|
| |
| OpenTofu | HCL | | | .terraform.lock.hcl |
.tf, .tofu |
| |
| pip | Python | | 옥티콘 "check" aria-label="Supported" %} |
requirements.txt, pipfile.lock |
pipfile, setup.py |
| pnpm | JavaScript | 옥티콘 "check" aria-label="Supported" %} | | pnpm-lock.yaml | package.json |
| 술집 | Dart | | | pubspec.lock | pubspec.yaml |
| 시 | Python | | | poetry.lock | pyproject.toml |
| RubyGems | 루비 | | | Gemfile.lock |
Gemfile, *.gemspec |
| Swift Package Manager | Swift | | | Package.resolved | |
| Yarn | JavaScript | 옥티콘 "check" aria-label="Supported" %} | | yarn.lock | package.json |
참고
*
setup.py 파일 내에 Python 종속성을 나열하는 경우 프로젝트의 모든 종속성을 구문 분석하고 나열하지 못할 수 있습니다.
- GitHub Actions 워크플로는 매니페스트로 인식되려면 리포지토리의
.github/workflows/디렉터리에 있어야 합니다. 구문jobs[*].steps[*].uses또는jobs.<job_id>.uses를 사용하여 참조되는 모든 작업 또는 워크플로는 종속성으로 구문 분석됩니다. 자세한 내용은 GitHub Actions에 대한 워크플로 구문을(를) 참조하세요. - GitHub Actions의 경우 Dependabot alerts는 의미 체계 버전 관리를 사용하는 작업에 대해서만 생성되며, SHA 버전 관리를 사용하는 경우에는 생성되지 않습니다. 자세한 내용은 Dependabot 경고 정보 및 Dependabot 버전 업데이트 정보 항목을 참조하세요.
커뮤니티에서 유지 관리되는 에코시스템
다음 에코시스템은 업스트림 커뮤니티 유지 관리자가 유지 관리합니다. GitHub는 Dependabot를 이러한 생태계와 통합하지만 직접 유지 관리하지는 않습니다.
| 에코시스템 | 유지 관리 주체 |
|---|---|
| 줄리아 | Julia 커뮤니티 |
| OpenTofu | OpenTofu 커뮤니티 |
| 술집 | 다트 커뮤니티 |