# 维护依赖项的最佳做法

有关维护您所使用依赖项的指导和建议，以及可提供帮助的 GitHub 安全产品。

## 维护依赖项的最佳做法

保持依赖项的最新状态对于维护安全的软件环境至关重要。 以下是一些建议：

**采用以安全为中心的依赖项管理工具**

* 使用并设置可扫描依赖项漏洞并自动建议更新的工具。
* 确保这些工具已集成到 CI/CD 管道中，以实现持续监控和更新。
* 在流程中遵循语义化版本控制，以避免破坏性更改。

**定期执行漏洞扫描和审计**

* 定期安排依赖项审计和依赖项扫描，以识别过期或存在漏洞的依赖项。

**自动化安全修补程序管理**

* 将依赖项管理工具配置为自动应用安全修补程序。
* 为关键安全更新设置自动化拉取请求，以便快速审查和合并。

**对依赖项的使用实施策略**

* 实施策略以强制使用安全版本的依赖项。
* 使用工具在拉取请求引入漏洞或未更新存在漏洞的依赖项时，阻止其合并。

**在 CI/CD 中集成安全测试**

* 将安全测试工具纳入 CI/CD 管道。
* 确保依赖项更新会自动进行安全合规性测试。

**使用锁定文件和依赖项固定**

* 使用锁定文件（例如 `package-lock.json`、`yarn.lock`、`Pipfile.lock`）将依赖项固定到已知的安全版本。
* 定期更新并审查这些锁定文件，确保依赖项保持最新状态且不会引入意外的安全问题。

**监控安全公告**

* 订阅你所使用语言和框架的安全公告。
* 将安全公告自动集成到开发工作流中，以便及时获知新的漏洞信息。
* 密切关注依赖项管理工具提供的仪表板。
* 注意关键更新，尤其是安全修补程序，并优先处理。

**版本控制与变更管理**

* 在版本控制中跟踪依赖项更改（例如，通过自动化拉取请求）。

* 定期进行代码审查，以确保更新不会引入新的漏洞。

**培训与意识提升**

* 教育开发和运维团队了解保持依赖项安全和最新的重要性。
* 提供有关如何有效使用依赖管理和安全工具的培训。

**漏洞响应计划**

* 在依赖项中发现漏洞时，应制定清晰的事件响应计划。
* 确保团队知道如何快速处理和修复安全问题。

通过遵循这些做法，可以显著降低过期或存在漏洞的依赖项带来的风险，并维护更加安全的环境。

## GitHub 的帮助方式

GitHub 提供安全功能来帮助维护依赖项：

**依赖项图**：跟踪项目依赖项并识别漏洞。 请参阅“[依赖项关系图](/zh/code-security/concepts/supply-chain-security/dependency-graph)”。

**依赖项评审**：在请求合并之前捕获拉取请求中的不安全依赖项。 此外，依赖项审查操作 可能无法通过检查，并且在分支保护规则要求时，可以防止合并引入漏洞的拉取请求。 请参阅“[依赖项审查](/zh/code-security/concepts/supply-chain-security/dependency-review)”。

\*\*
Dependabot
\*\*：自动扫描漏洞、创建警报并打开拉取请求以更新易受攻击或过时的依赖项。 可以将多个更新分组到单个拉取请求中，以简化评审。 请参阅“[Dependabot 警报](/zh/code-security/concepts/supply-chain-security/dependabot-alerts)”。

\*\*
GitHub Advisory Database
\*\*：提供支持 Dependabot漏洞检测的安全公告。 请参阅 [GitHub 通告数据库](/zh/code-security/concepts/vulnerability-reporting-and-management/github-advisory-database)。

**专用漏洞报告**：使维护人员能够在公开披露之前在私有中接收、讨论和修复漏洞报告。

**安全概述**：显示组织的安全状况，其中包含风险存储库、警报趋势和功能启用状态的仪表板。 请参阅“[安全性概述](/zh/code-security/concepts/security-at-scale/security-overview)”。

有关端到端供应链指南，请参阅 [保护端到端供应链](/zh/code-security/tutorials/implement-supply-chain-best-practices/end-to-end-supply-chain-overview)。