维护依赖项的最佳做法

保持依赖项的最新状态对于维护安全的软件环境至关重要。以下是一些建议：

          **采用以安全为中心的依赖项管理工具**

使用并设置可扫描依赖项漏洞并自动建议更新的工具。
确保这些工具已集成到 CI/CD 管道中，以实现持续监控和更新。
在流程中遵循语义化版本控制，以避免破坏性更改。
```
     **定期执行漏洞扫描和审计**
```
定期安排依赖项审计和依赖项扫描，以识别过期或存在漏洞的依赖项。
```
     **自动化安全修补程序管理**
```
将依赖项管理工具配置为自动应用安全修补程序。
为关键安全更新设置自动化拉取请求，以便快速审查和合并。
```
     **对依赖项的使用实施策略**
```
实施策略以强制使用安全版本的依赖项。
使用工具在拉取请求引入漏洞或未更新存在漏洞的依赖项时，阻止其合并。
```
     **在 CI/CD 中集成安全测试**
```
将安全测试工具纳入 CI/CD 管道。
确保依赖项更新会自动进行安全合规性测试。
```
     **使用锁定文件和依赖项固定**
```
使用锁定文件（例如 package-lock.json、yarn.lock、Pipfile.lock）将依赖项固定到已知的安全版本。
定期更新并审查这些锁定文件，确保依赖项保持最新状态且不会引入意外的安全问题。
```
     **监控安全公告**
```
订阅你所使用语言和框架的安全公告。
将安全公告自动集成到开发工作流中，以便及时获知新的漏洞信息。
密切关注依赖项管理工具提供的仪表板。
注意关键更新，尤其是安全修补程序，并优先处理。
```
     **版本控制与变更管理**
```
在版本控制中跟踪依赖项更改（例如，通过自动化拉取请求）。
定期进行代码审查，以确保更新不会引入新的漏洞。
```
     **培训与意识提升**
```
教育开发和运维团队了解保持依赖项安全和最新的重要性。
提供有关如何有效使用依赖管理和安全工具的培训。
```
     **漏洞响应计划**
```
在依赖项中发现漏洞时，应制定清晰的事件响应计划。
确保团队知道如何快速处理和修复安全问题。

通过遵循这些做法，可以显著降低过期或存在漏洞的依赖项带来的风险，并维护更加安全的环境。

GitHub 的帮助方式

GitHub 提供安全功能来帮助维护依赖项：

          **依赖项图**：跟踪项目依赖项并识别漏洞。 请参阅“[AUTOTITLE](/code-security/supply-chain-security/understanding-your-software-supply-chain/about-the-dependency-graph)”。

          **依赖项评审**：在请求合并之前捕获拉取请求中的不安全依赖项。 此外，依赖项审查操作 可能会失败检查，并且当分支保护规则需要时，阻止引入漏洞的拉取请求被合并。 请参阅“[AUTOTITLE](/code-security/supply-chain-security/understanding-your-software-supply-chain/about-dependency-review)”。

          **Dependabot**：自动检测漏洞、生成通知，并打开拉取请求以便更新易受攻击或过时的依赖项。 可以将多个更新分组到单个拉取请求中，以简化评审。 请参阅“[AUTOTITLE](/code-security/dependabot/dependabot-alerts/about-dependabot-alerts)”。

          **GitHub Advisory Database**：提供支持 Dependabot 漏洞检测的安全公告。 请参阅 [AUTOTITLE](/code-security/security-advisories/working-with-global-security-advisories-from-the-github-advisory-database/about-the-github-advisory-database)。

          **专用漏洞报告**：使维护人员能够在公开披露之前在私有中接收、讨论和修复漏洞报告。

安全概述：显示组织的安全状况，其中包含风险存储库、警报趋势和功能启用状态的仪表板。请参阅“关于安全概述”。

有关端到端供应链指南，请参阅保护端到端供应链。

维护依赖项的最佳做法

在本文中

维护依赖项的最佳做法

GitHub 的帮助方式