{"meta":{"title":"Dependabot 快速入门指南","intro":"查找并修复您所依赖的 Dependabot 易受攻击的依赖项。","product":"安全性和代码质量","breadcrumbs":[{"href":"/zh/code-security","title":"安全性和代码质量"},{"href":"/zh/code-security/tutorials","title":"Tutorials"},{"href":"/zh/code-security/tutorials/secure-your-dependencies","title":"保护依赖项"},{"href":"/zh/code-security/tutorials/secure-your-dependencies/dependabot-quickstart","title":"Dependabot 快速入门"}],"documentType":"article"},"body":"# Dependabot 快速入门指南\n\n查找并修复您所依赖的 Dependabot 易受攻击的依赖项。\n\n## 关于 Dependabot\n\n本快速入门指南指导你完成设置和启用 Dependabot、查看 Dependabot alerts和更新存储库以使用依赖项的安全版本。\n\nDependabot 由三种不同的功能组成，可帮助你管理依赖项：\n\n* Dependabot alerts：就存储库中使用的依赖项中的漏洞问题通知你。\n* Dependabot security updates：自动引发拉取请求，以更新你使用的具有已知安全漏洞的依赖项。\n* Dependabot version updates：自动引发拉取请求以使依赖项保持最新。\n\n## 先决条件\n\n在本指南中，我们将使用一个演示存储库来演示Dependabot如何查找依赖项中的漏洞、在Dependabot alertsGitHub中查看漏洞，以及如何浏览、修复或忽略这些警报。\n\n首先需要创建演示存储库的分支。\n\n1. 导航到 [https://github.com/dependabot/demo](https://github.com/dependabot/demo?ref_product=supply-chain-security\\&ref_type=engagement\\&ref_style=text)。\n2. 在页面顶部右侧，单击 ** 分支**。\n3. 选择所有者（可以选择个人 GitHub 帐户），然后键入存储库名称。 有关派生存储库的详细信息，请参阅 [为存储库创建分支](/zh/pull-requests/how-tos/work-with-forks/fork-a-repo#forking-a-repository)。\n4. 单击“创建分支”\\*\\*\\*\\*。\n\n## 为你的存储库启用 Dependabot\n\n你需要在[先决条件](#prerequisites)中分支的存储库上执行以下步骤。\n\n1. 在 GitHub 上，导航到存储库的主页面。\n2. 在仓库名称下，单击 “Settings”\\*\\*\\*\\*。 如果看不到“设置”选项卡，请选择“”下拉菜单，然后单击“设置”。\n\n \n3. 在边栏的“安全和质量”部分中，单击 **Advanced Security**。\n4. 在Dependabot下，为\\*\\*\\*\\*、Dependabot alerts和Dependabot security updates单击“启用”。\n5. 如果您单击**启用**，则可以编辑Dependabot version updates在您的存储库的`dependabot.yml`目录中为您创建的默认GitHub配置文件`/.github`。\n 若要为存储库启用 Dependabot version updates ，通常通过编辑默认文件并提交更改来配置此文件以满足需求。 有关示例，可以参考 [配置 Dependabot 版本更新](/zh/code-security/how-tos/secure-your-supply-chain/secure-your-dependencies/configure-version-updates#example-dependabotyml-file) 中提供的代码片段。\n\n> \\[!NOTE]\n> 如果尚未为存储库启用依赖关系图，当您启用GitHub时，Dependabot将自动启用它。\n\n有关配置每个Dependabot功能的详细信息，请参阅 [AUTOTITLE、](/zh/code-security/how-tos/secure-your-supply-chain/secure-your-dependencies/configure-dependabot-alerts)[配置 Dependabot 安全更新](/zh/code-security/how-tos/secure-your-supply-chain/secure-your-dependencies/configure-security-updates) 和 [配置 Dependabot 版本更新](/zh/code-security/how-tos/secure-your-supply-chain/secure-your-dependencies/configure-version-updates)。\n\n## 查看 Dependabot alerts 存储库\n\n如果为存储库启用了Dependabot alerts，可以在该存储库的Dependabot alerts选项卡上查看 Security and quality。 你可以使用上一节中启用了 Dependabot alerts 的分支存储库。\n\n1. 在 GitHub 上，导航到存储库的主页面。\n\n2. 在存储库名称下，单击 ** Security and quality** 选项卡。如果看不到“ Security and quality”选项卡，请选择 **** 下拉菜单，然后单击 ** Security and quality**。\n\n3. 在边栏的“查找”部分中，选择 **Dependabot** 下拉菜单，然后单击“ **漏洞**”。\n\n4. 查看Dependabot alerts页面上的公开警报。 默认情况下，该页面显示“打开”选项卡，其中列出了打开的警报。 （可以通过单击“已关闭”来查看任何已关闭的警报。）\n\n \n\n 可以使用各种筛选器或标签在列表中进行筛选 Dependabot alerts 。 有关详细信息，请参阅“[查看和更新 Dependabot 警报](/zh/code-security/how-tos/manage-security-alerts/manage-dependabot-alerts/view-dependabot-alerts#tips-for-prioritizing-alerts)”。 您还可以通过使用 Dependabot 自动分类规则 来筛选出误报或您不感兴趣的警报。 有关详细信息，请参阅“[Dependabot 自动分类规则](/zh/code-security/concepts/supply-chain-security/dependabot-auto-triage-rules)”。\n\n5. 单击 `javascript/package-lock.json` 文件中的“lodash 中的命令注入”警报。 警报的详细信息页将显示以下信息（请注意，某些信息可能不适用于所有警报）：\n\n * Dependabot 是否创建了将修复漏洞的拉取请求。 可以通过单击“查看安全更新”来查看建议的安全更新。\n * 涉及的包\n * 受影响版本\n * 已修补版本\n * 漏洞的简要说明\n\n \n\n6. （可选）还可以浏览页面右侧的信息。 屏幕截图中显示的某些信息可能不适用于每个警报。\n\n * Severity\n * CVSS 指标：我们使用 CVSS 级别来分配严重性级别。 有关详细信息，请参阅“[GitHub 通告数据库](/zh/code-security/concepts/vulnerability-reporting-and-management/github-advisory-database#cvss-levels)”。\n * 标记\n * 弱点：与漏洞相关的 CWE 列表（如果适用）\n * CVE ID：漏洞的唯一 CVE 标识符（如果适用）\n * GHSA ID：GitHub Advisory Database\n 上相应公告的唯一标识符。 有关详细信息，请参阅“[GitHub 通告数据库](/zh/code-security/concepts/vulnerability-reporting-and-management/github-advisory-database#ghsa-ids)”。\n * 导航到 GitHub Advisory Database\n 上公告的选项\n * 用于查看受此漏洞影响的所有存储库的选项\n * 在 GitHub Advisory Database\n 上建议改进此公告的选项\n\n \n\n有关查看、确定优先级和排序 Dependabot alerts的详细信息，请参阅 [查看和更新 Dependabot 警报](/zh/code-security/how-tos/manage-security-alerts/manage-dependabot-alerts/view-dependabot-alerts)。\n\n## 修复或消除 Dependabot 警报\n\n可以在Dependabot alerts上修复或忽略GitHub。 让我们继续以分支存储库为例，以及上一节中描述的“lodash 中的命令注入”警报。\n\n1. 请导航到存储库的Dependabot选项卡。 有关详细信息，请参阅上面的[“查看Dependabot alerts存储库”](#viewing-dependabot-alerts-for-your-repository)部分。\n2. 单击警报。\n3. 单击 `javascript/package-lock.json` 文件中的“lodash 中的命令注入”警报。\n4. 查看警报。 您可以：\n * 通过单击“查看安全更新”来查看建议的安全更新。 这将打开由 Dependabot 生成并包含安全修复的拉取请求。\n\n \n\n * 在拉取请求说明中，你可以单击“提交”\\*\\*\\*\\* 以浏览拉取请求中包含的提交。\n * 还可以单击 **Dependabot 命令和选项** ，了解可用于与拉取请求交互的命令。\n * 当您准备好更新依赖项并解决漏洞时，合并拉取请求。\n * 如果你决定要忽略警报\n * 返回警报详细信息页。\n\n * 在右上角，按下“**关闭警报**”。\n\n \n\n * 选择忽略警报的原因。\n\n * （可选）添加消除注释。 消除操作注释将添加到警报时间线，可在审核和报告期间用作理由。\n\n * 单击“消除警报”。 警报将不再会在警报列表的“未解决”\\*\\*\\*\\* 选项卡中显示，但可以在“已解决”\\*\\*\\*\\* 选项卡中查看。\n\n有关查看和更新 Dependabot alerts的详细信息，请参阅 [查看和更新 Dependabot 警报](/zh/code-security/how-tos/manage-security-alerts/manage-dependabot-alerts/view-dependabot-alerts#reviewing-and-fixing-alerts)。\n\n## 故障排除\n\n在以下情况下，可能需要执行一些故障排除：\n\n* Dependabot 被阻止创建拉取请求以修复警报，或\n* 所 Dependabot 报告的信息不是你所期望的信息。\n\n有关详细信息，请分别参阅 [Dependabot 错误](/zh/code-security/reference/supply-chain-security/troubleshoot-dependabot/dependabot-errors) 和 [脆弱性依赖检测](/zh/code-security/reference/supply-chain-security/troubleshoot-dependabot/vulnerability-detection)。\n\n## 后续步骤\n\n有关配置 Dependabot 更新的详细信息，请参阅 [配置 Dependabot 安全更新](/zh/code-security/how-tos/secure-your-supply-chain/secure-your-dependencies/configure-security-updates) 和 [配置 Dependabot 版本更新](/zh/code-security/how-tos/secure-your-supply-chain/secure-your-dependencies/configure-version-updates)。\n\n有关为组织配置 Dependabot 的详细信息，请参阅 [配置 Dependabot 警报](/zh/code-security/how-tos/secure-your-supply-chain/secure-your-dependencies/configure-dependabot-alerts#managing-dependabot-alerts-for-your-organization)。\n\n有关查看 Dependabot 打开的拉取请求的详细信息，请参阅 [管理依赖项更新的所有拉取请求](/zh/code-security/how-tos/secure-your-supply-chain/manage-your-dependency-security/manage-dependabot-prs#viewing-dependabot-pull-requests)。\n\n有关促成 Dependabot alerts 的安全公告的详细信息，请参阅 [在 GitHub Advisory Database 中浏览安全公告](/zh/code-security/how-tos/report-and-fix-vulnerabilities/fix-reported-vulnerabilities/browse-advisory-database)。\n\n有关配置Dependabot alerts通知的详细信息，请参阅[为 Dependabot 警报配置通知](/zh/code-security/how-tos/secure-your-supply-chain/manage-your-dependency-security/configure-dependabot-notifications)。"}