About Dependabot alerts for vulnerable dependencies
Уязвимость — это недостаток в коде проекта, который может привести к нарушению конфиденциальности, целостности или доступности проекта или других проектов, использующих его код. Уязвимости зависят от типа, серьезности и метода атаки.
Dependabot scans code when a new advisory is added to the GitHub Advisory Database or the dependency graph for a repository changes. When vulnerable dependencies are detected, Dependabot alerts are generated. For more information, see Сведения об оповещениях Dependabot.
Если вы включили Dependabot security updates для репозитория, оповещение также может содержать ссылку на запрос на вытягивание, чтобы обновить манифест или файл блокировки до минимальной версии, которая устраняет уязвимость. Дополнительные сведения см. в разделе Сведения об обновлениях для системы безопасности Dependabot.
You can enable or disable Dependabot alerts for:
- Your personal account
- Your repository
- Your organization
- Your enterprise
Кроме того, можно использовать Правила автообработки зависимостей для управления оповещениями в масштабе, чтобы можно было автоматически закрыть или отклонить оповещения, а также указать, для каких оповещений требуется Dependabot для открытия запросов на вытягивание. Сведения о различных типах правил автоматической сортировки и о том, разрешены ли репозитории, см. в разделе Сведения о правилах автообработки Dependabot.
Managing Dependabot alerts for your personal account
You can enable or disable Dependabot alerts for all repositories owned by your personal account.
Enabling or disabling Dependabot alerts for existing repositories
- Under "Advanced Security", to the right of Dependabot alerts, click Disable all or Enable all.
- Optionally, to enable Dependabot alerts by default for new repositories that you create, in the dialog box, select "Enable by default for new repositories".
- Click Disable Dependabot alerts or Enable Dependabot alerts to disable or enable Dependabot alerts for all the repositories you own.
When you enable Dependabot alerts for existing repositories, you will see any results displayed on GitHub within minutes.
Enabling or disabling Dependabot alerts for new repositories
- Under "Advanced Security", to the right of Dependabot alerts, select Automatically enable for new repositories.
Managing Dependabot alerts for your repository
You can manage Dependabot alerts for your public, private or internal repository.
By default, we notify people with write, maintain, or admin permissions in the affected repositories about new Dependabot alerts. GitHub never publicly discloses insecure dependencies for any repository. You can also make Dependabot alerts visible to additional people or teams working on repositories that you own or have admin permissions for.
Если включены функции безопасности и анализа, GitHub выполняет анализ только для чтения в репозитории.
Enabling or disabling Dependabot alerts for a repository
-
На GitHubперейдите на главную страницу репозитория.
-
Под именем репозитория щелкните Settings. Если вкладка "Параметры" не отображается, выберите раскрывающееся меню и нажмите кнопку "Параметры".
-
В разделе "Безопасность" боковой панели щелкните Advanced Security.
-
Under "Advanced Security", to the right of Dependabot alerts, click Enable to enable alerts or Disable to disable alerts.
Managing Dependabot alerts for your organization
You can enable Dependabot alerts for all eligible repositories in your organization. For more information, see About enabling security features at scale.
Managing Dependabot alerts for your enterprise
Security configurations, which are collections of security settings, allow you to manage Dependabot alerts for your enterprise. You can:
- Use the GitHub-recommended security configuration. This configuration is maintained by GitHub and is a set of industry best practices and features that provide a robust, baseline security posture for enterprises. See Применение рекомендуемой конфигурации безопасности GitHub к вашей организации.
- Configure your own custom security configuration if you prefer the enablement settings to meet the specific security needs of your enterprise. See Создание настраиваемой конфигурации безопасности для предприятия.