プロジェクトの依存関係にある脆弱性を管理する

GitHub は、既知の脆弱性を含むサードパーティソフトウェアの使用を回避するのに役立ちます。

GitHub Advisory Database を使用すると、GitHub のオープンソースプロジェクトに影響を与える脆弱性を参照または検索できます。

GitHub sends Dependabotアラート when we detect vulnerabilities affecting your repository.

Optimize how you receive notifications about Dependabot alerts.

Dependabot は、セキュリティアップデートプログラムを使用してプルリクエストを発行することにより、脆弱性のある依存関係を修正できます。

Dependabotセキュリティアップデート または手動のプルリクエストを使用して、脆弱性のある依存関係を簡単に更新できます。

GitHub がプロジェクト内の脆弱性のある依存関係を発見した場合は、それらをリポジトリの [Dependabot alerts] タブで確認できます。 その後、プロジェクトを更新してこの脆弱性を解決することができます。

GitHub によって報告された依存関係の情報が期待したものと異なる場合、いくつかの考慮するポイントと、様々な確認項目があります。

Dependabot は、依存関係を更新するためのプルリクエストを生成できない場合があります。 エラーをレビューして Dependabot をブロック解除できます。