Customizing auto-triage rules to prioritize Dependabot alerts

You can create your own Правила автоматической сортировки to control which alerts are dismissed or snoozed, and which alerts you want Dependabot to open pull requests for.

Кто может использовать эту функцию?

Владельцы организации
Менеджеры по безопасности
Пользователи с доступом администратора (могут включать, отключать и просматривать Правила автоматической сортировки для репозитория, а также создавать пользовательские правила автоматической сортировки)

Предустановки GitHub доступны для всех типов репозитория.

Пользовательские правила автоматической сортировки доступны для следующих типов репозитория:

Репозитории, принадлежащие организации, с GitHub Advanced Security включено

В этой статье

About пользовательские правила автоматической сортировки

You can create your own Правила автообработки зависимостей based on alert metadata. You can choose to auto-dismiss alerts indefinitely, or snooze alerts until a patch becomes available, and you can specify which alerts you want Dependabot to open pull requests for. Rules are applied before alert notifications are sent, so creating custom rules that auto-dismiss low-risk alerts will reduce notification noise from future matching alerts.

Since any rules that you create apply to both future and current alerts, you can also use Правила автоматической сортировки to manage your Dependabot alerts in bulk.

Repository administrators can create пользовательские правила автоматической сортировки for their repositories. This requires GitHub Advanced Security.

Organization owners and security managers can set пользовательские правила автоматической сортировки at the organization-level, and then choose if a rule is enforced or enabled across all public and private repositories in the organization.

Enforced: If an organization-level rule is "enforced", repository administrators cannot edit, disable, or delete the rule.
Enabled: If an organization-level rule is "enabled", repository administrators can still disable the rule for their repository.

Примечание.

In the event that an organization-level rule and a repository-level rule specify conflicting behaviors, the action set out by the organization-level rule takes precedence. Dismissal rules always act before rules which trigger Dependabot pull requests.

You can create rules to target alerts using the following metadata:

CVE ID
CWE
Dependency scope (devDependency or runtime)
Ecosystem
GHSA ID
Manifest path (for repository-level rules only)
Package name
Patch availability
Severity
EPSS Score

Understanding how пользовательские правила автоматической сортировки and Dependabot security updates interact

You can use пользовательские правила автоматической сортировки to tailor which alerts you want Dependabot to open pull requests for. However, for an "open a pull request" rule to take effect, you must ensure that Dependabot security updates are disabled for the repository (or repositories) that the rule should apply to.

When Dependabot security updates are enabled for a repository, Dependabot will automatically try to open pull requests to resolve every open Dependabot alert that has an available patch. If you prefer to customize this behavior using a rule, you must leave Dependabot security updates disabled.

For more information about enabling or disabling Dependabot security updates for a repository, see Configuring Dependabot security updates.

Adding пользовательские правила автоматической сортировки to your repository

Примечание.

During the public preview, you can create up to 10 пользовательские правила автоматической сортировки for a repository.

На GitHubперейдите на главную страницу репозитория.
Под именем репозитория щелкните Settings. Если вкладка "Параметры" не отображается, выберите раскрывающееся меню и нажмите кнопку "Параметры".
В разделе "Безопасность" боковой панели щелкните Code security.
В разделе "Dependabot alerts" щелкните близко к "Dependabot правил".
Нажмите кнопку Создать правило.
В разделе "Имя правила" описано, что будет делать это правило.
Under "State", use the dropdown menu to select whether the rule should be enabled or disabled for the repository.
В разделе "Целевые оповещения" выберите метаданные, которые необходимо использовать для фильтрации оповещений.
Under "Rules", select the action you want to take on alerts that match the metadata:
- Select Dismiss alerts to auto-dismiss alerts that match the metadata. You can choose to dismiss alerts indefinitely or until a patch is available.
- Select Open a pull request to resolve this alert if you want Dependabot to suggest changes to resolve alerts that match the targeted metadata. Note that this option is unavailable if you have already selected the option to dismiss alerts indefinitely, or if Dependabot security updates are enabled in your repository settings.
Нажмите кнопку "Создать правило".

Adding пользовательские правила автоматической сортировки to your organization

You can add пользовательские правила автоматической сортировки for all eligible repositories in your organization. For more information, see Настройка глобальных параметров безопасности для организации.

Editing or deleting пользовательские правила автоматической сортировки for your repository

На GitHubперейдите на главную страницу репозитория.
Под именем репозитория щелкните Settings. Если вкладка "Параметры" не отображается, выберите раскрывающееся меню и нажмите кнопку "Параметры".
В разделе "Безопасность" боковой панели щелкните Code security.
В разделе "Dependabot alerts" щелкните близко к "Dependabot правил".
Under "Repository rules", to the right of the rule that you want to edit or delete, click .
Чтобы изменить правило, внесите изменения в применимые поля и нажмите кнопку "Сохранить правило".
Чтобы удалить правило, в разделе "Зона опасности" нажмите кнопку "Удалить правило".
В разделе "Вы уверены, что хотите удалить это правило?" диалоговое окно, просмотрите сведения и нажмите кнопку "Удалить правило".

Editing or deleting пользовательские правила автоматической сортировки for your organization

You can edit or delete пользовательские правила автоматической сортировки for all eligible repositories in your organization. For more information, see Настройка глобальных параметров безопасности для организации.