Explorar as dependências de um repositório

Você pode usar o grafo de dependência para ver os pacotes dos quais o projeto depende e os repositórios que dependem dele. Além disso, você pode ver todas as vulnerabilidades detectadas nas suas dependências.

Quem pode usar esse recurso?

Administradores de repositório, proprietários de organizações e pessoas com acesso de gravação ou manutenção a um repositório

Neste artigo

Exibindo o grafo de dependência

O grafo de dependência mostra as dependências e os dependentes do repositório. Para cada dependência, você pode ver a versão, informações da licença, o arquivo de manifesto que a incluiu e se ela tem vulnerabilidades conhecidas. Para ecossistemas de pacotes que dão suporte a dependências transitivas, o status da relação será exibido e você poderá clicar em "", e em seguida em "Show paths" para ver o caminho transitivo que trouxe a dependência.

Você também pode pesquisar uma dependência específica usando a barra de pesquisa. As dependências são classificadas automaticamente com os pacotes vulneráveis na parte superior. Para obter informações sobre a detecção de dependências e quais ecossistemas têm suporte, consulte Ecossistemas de pacotes com suporte a gráficos de dependência.

  1. Em GitHub, acesse a página principal do repositório.

  2. No nome do repositório, clique em Insights.

    Captura de tela da página principal de um repositório. Na barra de navegação horizontal, uma guia, rotulada com um ícone de grafo e "Insights", está contornada em laranja.

  3. Na barra lateral esquerda, clique em Grafo de dependência.

    Captura de tela da guia "Grafo de dependência". A guia está realçada com um contorno laranja.

  4. Opcionalmente, use a barra de pesquisa para localizar uma dependência específica ou um conjunto de dependências. Você pode usar as palavras-chave ecosystem: para mostrar apenas pacotes de um determinado tipo, ou relationship: para mostrar apenas dependências diretas ou transitivas (se o ecossistema der suporte à transitividade). Palavras simples na barra de pesquisa corresponderão apenas aos nomes de pacote.

  5. Opcionalmente, para ver os repositórios e os pacotes que dependem do repositório, em "Grafo de dependência", clique em Dependentes.

    Captura de tela da página "Gráfico de dependência". A guia "Dependentes" está realçada com um contorno laranja.

    Observação

    GitHub atualmente só determina as dependências para repositórios públicos.

Vista de dependências

Para cada dependência, você pode ver o respectivo ecossistema, o arquivo de manifesto no qual ele foi encontrado e a licença (quando detectado).

  • As dependências de repositórios privados, pacotes privados ou arquivos não reconhecidos são exibidos em texto sem formatação.

  • Se o gerenciador de pacotes da dependência estiver em um repositório público, posicione o cursor sobre o nome da dependência para ver um pop-up com as informações do repositório associado.

  • Você pode classificar e filtrar dependências digitando filtros como pares key:value na barra de pesquisa.

    • Use ecosystem: <ecosystem-name> para exibir dependências para o ecossistema selecionado.
    • Use relationship: para filtrar a lista por status de relação. Os valores possíveis são direct, transitive e inconclusive. Como alternativa, você pode clicar no rótulo de relação adjacente a um nome de dependência para mostrar apenas dependências do mesmo status de relação. Esse filtro está disponível apenas para ecossistemas com suporte de dependência transitivo. Confira Ecossistemas de pacotes com suporte a gráficos de dependência para saber mais.

Dependências enviadas para um projeto usando a API de envio de dependência mostrarão qual detector foi usado para seu envio e quando elas foram enviadas. Para saber mais sobre o uso da API de envio de dependência, confira Usar a API de envio de dependências.

Se foram detectadas vulnerabilidades no repositório, estas são exibidas na parte superior da visualização para usuários com acesso ao Dependabot alerts.

Vista de dependentes

Para repositórios públicos, a vista de dependentes mostra como o repositório é usado por outros repositórios. Para mostrar apenas os repositórios que contêm uma biblioteca em um gerenciador de pacotes, clique em NUMBER Pacotes logo acima da lista de repositórios dependentes. A quantidade de dependentes é aproximada e pode nem sempre corresponder aos dependentes listados.

Leitura adicional

  •         [AUTOTITLE](/code-security/supply-chain-security/understanding-your-software-supply-chain/troubleshooting-the-dependency-graph)

  •         [AUTOTITLE](/code-security/supply-chain-security/understanding-your-software-supply-chain/about-the-dependency-graph)

  •         [AUTOTITLE](/code-security/dependabot/dependabot-alerts/viewing-and-updating-dependabot-alerts)

  •         [AUTOTITLE](/get-started/privacy-on-github)