{"meta":{"title":"审核拉取请求中的依赖项变更","intro":"查看拉取请求中的依赖项更改，以识别已添加、更新或删除的依赖项，并在这些依赖项到达生产环境之前检测漏洞。","product":"拉取请求","breadcrumbs":[{"href":"/zh/pull-requests","title":"拉取请求"},{"href":"/zh/pull-requests/how-tos","title":"How-tos"},{"href":"/zh/pull-requests/how-tos/review-pull-requests","title":"评审拉取请求"},{"href":"/zh/pull-requests/how-tos/review-pull-requests/reviewing-dependency-changes-in-a-pull-request","title":"查看依赖项更改"}],"documentType":"article"},"body":"# 审核拉取请求中的依赖项变更\n\n查看拉取请求中的依赖项更改，以识别已添加、更新或删除的依赖项，并在这些依赖项到达生产环境之前检测漏洞。\n\n\n\n## 关于依赖项评审\n\n依赖项审查帮助您了解依赖项变化以及这些变化在每个拉取请求中的安全影响。 它提供了一个易于理解的依赖项变化可视化效果，多差异显示在拉取请求的“更改的文件”选项卡上。 依赖项审查告知您：\n\n* 与发行日期一起添加、删除或更新的依赖项有哪些\n* 有多少项目使用这些组件\n* 这些依赖项的漏洞数据\n\n依赖项评审有助于在依赖项到达生产环境之前找到易受攻击的依赖项。 请参阅“[依赖项审查](/zh/code-security/concepts/supply-chain-security/dependency-review)”。\n\n您可以使用 依赖项审查操作，帮助对仓库中的拉取请求强制执行依赖项审查。 依赖项审查操作 扫描拉取请求，查看是否存在依赖项更改，如果有任何新的依赖项存在已知漏洞，则会引发错误。 API 终结点支持此操作，该终结点比较两个修订之间的依赖关系，并报告任何差异。\n\n有关操作和 API 终结点的详细信息，请参阅 [`dependency-review-action`](https://github.com/actions/dependency-review-action) 文档和 [适用于依赖项评审的 REST API 终结点](/zh/rest/dependency-graph/dependency-review)。\n\n可以通过指定要捕获的依赖项漏洞类型来配置 依赖项审查操作 以更好地满足需求。 请参阅“[配置依赖项评审操作](/zh/code-security/how-tos/secure-your-supply-chain/manage-your-dependency-security/configure-dependency-review-action)”。\n\n## 审查拉取请求中的依赖项\n\n1. 在存储库名称下，单击“ ** 拉取请求**”。\n\n2. 在拉取请求列表中，单击要审查的拉取请求。\n\n3. 在拉取请求上，单击“ Files changed”\\*\\*\\*\\*。\n\n \n\n4. 如果拉取请求包含许多文件，请使用“文件筛选器”下拉菜单折叠所有不记录依赖项的文件。 这样，可以更轻松地将评审重点放在依赖项更改上。\n\n\n依赖项审查可以更清楚地查看大型锁文件中发生了哪些更改，而这类文件默认不会显示源代码差异。\n\n> \\[!NOTE]\n> 依赖项审查丰富差异不适用于已提交的静态 JavaScript 文件，如 `jquery.js`。\n\n1. 若要显示依赖项审查，请单击清单文件或锁定文件标头右侧的 ****。\n\n \n\n2. 检查依赖项审查中列出的依赖项。\n\n \n\n 任何已添加或更改的有漏洞依赖项先按严重程度排序，然后按依赖项名称排序。 这意味着严重程度最高的依赖项始终处于依赖项审查的顶部。 其他依赖项按其名称的字母顺序排列。\n\n 每个依赖项旁边的图标指示此拉取请求中是否已添加依赖项（）、更新（或删除）。\n\n 其他信息包括：\n\n * 新、更新或删除的依赖项的版本或版本范围。\n * 对于依赖项的特定版本：\n * 依赖项的发布时间。\n * 依赖于此软件的项目数。 此信息取自依赖关系图。 检查依赖项的数量可以帮助您避免意外添加错误的依赖项。\n * 此依赖项使用的许可（如果此信息可用）。 如果您想避免在项目中使用带有某些许可证的代码，这会很有用。\n\n 如果依赖项具有已知漏洞，则警告消息包括：\n\n * 漏洞的简要说明。\n * 常见漏洞和暴露（CVE）或 GitHub Security Advisories （GHSA）标识号。 您可以单击此 ID 以查找有关漏洞的更多信息。\n * 漏洞的严重程度。\n * 修复漏洞的依赖项版本。 为某人审核合并请求时，您可以要求贡献者将依赖项更新到修补版本或更高版本。\n\n3. 您可能还想查看源差异，因为清单或锁定文件可能会发生变化，但不会更改依赖项，也可能存在 GitHub 无法解析的依赖项，因此，这些依赖项不会显示在依赖项审核中。\n\n 要返回到源差异视图，请单击“”按钮。\\*\\*\\*\\*\n\n "}