{"meta":{"title":"在临时专用分支中协作以解决存储库安全漏洞","intro":"你可以创建临时私有分支，以私下协作修复公共存储库中的安全漏洞。","product":"安全性和代码质量","breadcrumbs":[{"href":"/zh/code-security","title":"安全性和代码质量"},{"href":"/zh/code-security/tutorials","title":"Tutorials"},{"href":"/zh/code-security/tutorials/fix-reported-vulnerabilities","title":"修复报告的漏洞"},{"href":"/zh/code-security/tutorials/fix-reported-vulnerabilities/collaborate-in-a-fork","title":"在分支中进行协作"}],"documentType":"article"},"body":"# 在临时专用分支中协作以解决存储库安全漏洞\n\n你可以创建临时私有分支，以私下协作修复公共存储库中的安全漏洞。\n\n> \\[!NOTE]\n> 本文适用于公共存储库中的存储库级别安全公告。\n> 若要编辑 GitHub Advisory Database 中的全局通知，请参阅 [在 GitHub Advisory Database 中编辑安全公告](/zh/code-security/how-tos/report-and-fix-vulnerabilities/fix-reported-vulnerabilities/edit-advisory-database)。\n\n## 先决条件\n\n在临时私有复刻中进行协作之前，必须创建维护员通告草稿。 有关详细信息，请参阅“[创建存储库安全公告](/zh/code-security/how-tos/report-and-fix-vulnerabilities/fix-reported-vulnerabilities/create-repository-advisory)”。\n\n## 创建临时私有分支\n\n为保证漏洞相关信息的安全，集成系统（包括 CI）无法访问临时私有复刻。\n\n1. 在 GitHub 上，导航到存储库的主页面。\n2. 在存储库名称下，单击 ** Security and quality** 选项卡。如果看不到“ Security and quality”选项卡，请选择 **** 下拉菜单，然后单击 ** Security and quality**。\n3. 在左边栏中的“Reporting”下，单击 “Advisories”\\*\\*\\*\\*。\n4. 在“安全公告”列表中，点击您想在其中创建临时私有分支的安全公告的名称。\n5. 滚动到公告窗体底部，然后单击“启动临时私有分支”\\*\\*\\*\\*。\n\n \n\n 将创建存储库的私有分支，并显示在公告页上。\n\n 私有分支的命名约定与 GitHub Advisory Database 中的公告所用命名约定非常相似，并且遵循以下格式：`repo-ghsa-xxxx-xxxx-xxxx`，其中：\n\n * `repo` 是存储库的名称。 为了保持存储库名称不超过 100 个字符的限制，我们将原始存储库的名称截断为 80 个字符。\n * `xxxx-xxxx-xxxx` 是安全公告草稿的唯一标识符：\n * `x` 是以下集合中的字母或数字：`23456789cfghjmpqrvwx`。\n * 数字和字母是随机分配的。\n * 所有字母和数字均为小写。\n\n例如，如果在名为 `octocat-repo` 的存储库中创建一个临时专用分支，并且为草稿公告自动生成的 ID 为 `GHSA-x854-cvjg-vx26`，则临时分支名为 `octocat-repo-ghsa-x854-cvjg-vx26`。\n\n还可以使用 REST API 创建临时专用分支。 有关详细信息，请参阅 REST API 文档中的[创建临时专用分支](/zh/rest/security-advisories/repository-advisories#create-a-temporary-private-fork)。\n\n## 将协作者添加到临时私有复刻\n\n对安全通告具有管理员权限的任何人都可以向安全通告添加其他协作者，而安全通告的协作者可以访问临时私有复刻。 有关详细信息，请参阅“[将协作者添加到存储库安全通告](/zh/code-security/how-tos/report-and-fix-vulnerabilities/fix-reported-vulnerabilities/add-collaborators)”。\n\n## 将更改添加到临时私有复刻\n\n任何对安全公告有写入权限的人都可以通过向临时私有分支添加更改来协作处理修补程序。\n\n1. 在 GitHub 上，导航到存储库的主页面。\n2. 在存储库名称下，单击 ** Security and quality** 选项卡。如果看不到“ Security and quality”选项卡，请选择 **** 下拉菜单，然后单击 ** Security and quality**。\n3. 在左边栏中的“Reporting”下，单击 “Advisories”\\*\\*\\*\\*。\n4. 在“安全公告”列表中，单击要处理的安全公告的名称。\n5. 您可以在 GitHub 上或在本地进行修改：\n\n * 若要对 GitHub 进行更改，请在“协作处理修补程序”下单击“临时私有分支”\\*\\*\\*\\*。 然后，创建新分支并编辑文件。 有关详细信息，请参阅 [管理存储库中的分支](/zh/pull-requests/how-tos/commit-changes/managing-branches-within-your-repository) 和 [编辑文件](/zh/repositories/working-with-files/managing-files/editing-files)。\n * 要在本地添加更改，请按照“克隆并创建新分支”和“进行更改，然后推送”下的说明进行操作。\n\n \n\n## 从临时私有复刻创建拉取请求\n\n任何对安全通告有写入权限的人都可以从临时私有复刻创建拉取请求。\n\n1. 在 GitHub 上，导航到存储库的主页面。\n\n2. 在存储库名称下，单击 ** Security and quality** 选项卡。如果看不到“ Security and quality”选项卡，请选择 **** 下拉菜单，然后单击 ** Security and quality**。\n\n3. 在左边栏中的“Reporting”下，单击 “Advisories”\\*\\*\\*\\*。\n\n4. 在“安全公告”列表中，单击要在其中创建拉取请求的安全公告的名称。\n\n5. 滚动到咨询表单底部。 然后，在“协作处理修补程序”下，单击“比较和拉取请求”\\*\\*\\*\\*，为关联的分支创建拉取请求。\n\n\n“打开拉取请求”包括一个标头，其中显示了在创建拉取请求时将在三点 Git 差异比较中比较的分支。 有关详细信息，请参阅“[分支](/zh/pull-requests/reference/branches#three-dot-and-two-dot-git-diff-comparisons)”。\n\n1. 要创建可供审查的拉取请求，请单击“创建拉取请求”。\n 若要创建草稿拉取请求，请使用下拉列表并选择“创建草稿拉取请求”，然后单击“草稿拉取请求” 。 如果你是组织的成员，则可能需要从组织所有者请求对草稿拉取请求的访问权限。 请参阅“[拉取请求](/zh/pull-requests/reference/pull-requests#draft-pull-requests)”。\n\n您不能在临时私有复刻中合并个别拉取请求。 而可以在相应的安全通告中一次合并所有打开的拉取请求。 有关详细信息，请参阅“[合并安全通告中的更改](#merging-changes-in-a-security-advisory)”。\n\n## 合并安全通告中的更改\n\n对安全通告具有管理员权限的任何人都可合并安全通告中的更改。\n\n您不能在临时私有复刻中合并个别拉取请求。 而可以在相应的安全通告中一次合并所有打开的拉取请求。\n\n在合并安全通告中的更改之前，临时私有复刻中每个打开的拉取请求必须为可合并状态。 为保证漏洞相关信息的安全，不在临时私有复刻的拉取请求上运行状态检查。 有关详细信息，请参阅“[关于受保护分支](/zh/repositories/configuring-branches-and-merges-in-your-repository/managing-protected-branches/about-protected-branches)”。\n\n此外，不能有合并冲突，并且 GitHub 不会强制执行你为要将这些更改合并到其中的分支设置的任何保护规则。\n\n1. 在 GitHub 上，导航到存储库的主页面。\n2. 在存储库名称下，单击 ** Security and quality** 选项卡。如果看不到“ Security and quality”选项卡，请选择 **** 下拉菜单，然后单击 ** Security and quality**。\n3. 在左边栏中的“Reporting”下，单击 “Advisories”\\*\\*\\*\\*。\n4. 在“安全公告”列表中，单击要合并其更改的安全公告的名称。\n5. 滚动到咨询表单底部。 然后，在“此公告已准备好合并”下，单击“合并一个或多个拉取请求”\\*\\*\\*\\* 以合并临时私有分支中所有打开的拉取请求。\n\n\n\n> \\[!NOTE]\n> 只能将一个拉取请求合并到临时私有分支的 `main` 分支中。 如果多个拉取请求以 `main` 分支为目标，则会阻止合并。\n\n合并安全通告中的更改后，您可以发布安全通告，以提醒您的社区有关项目早期版本中安全漏洞的信息。 有关详细信息，请参阅“[发布存储库安全公告](/zh/code-security/how-tos/report-and-fix-vulnerabilities/fix-reported-vulnerabilities/publish-repository-advisory)”。\n\n## 延伸阅读\n\n* [存储库安全公告](/zh/code-security/reference/permissions/repository-security-advisory)\n* [发布存储库安全公告](/zh/code-security/how-tos/report-and-fix-vulnerabilities/fix-reported-vulnerabilities/publish-repository-advisory)"}