每个分支的 github 易受攻击的依赖项

Question

在我看来，您只能看到master分支上的易受攻击的依赖项。 我在一个单独的分支上修复了警报中提到的那些，并想检查是否确实修复了易受攻击的依赖项，所以我真正需要的是能够检查特定分支的警报，这可以做到吗？

Answer 1

GitHub 报告的针对易受攻击的依赖项的安全警报可能仅对默认分支有效（通常是master ，但您可以更改它）。

如果您还没有准备好将您的修复程序合并到您的存储库的默认分支，一种解决方法是将该分支推送到新的专用（和临时）存储库的默认（同样，通常是master ）分支，只是为了检查是否有在该新存储库上检测到新警报。

2020 年 10 月更新，2 年后： Michael Greisman 在此GitHub 社区答案和文档“ 关于易受攻击的依赖项的警报” 的评论中指出。

它确认扫描是针对默认分支完成的。

“一旦修复……合并到默认分支……GitHub 将安排对您的项目依赖项的新扫描”。

Answer 2

我有同样的问题。

GitHub 的安全警报功能的问题在于它总是会扫描存储库的默认分支。 这通常是主分支。 因此，为解决其他分支的安全问题所做的任何更改都不会被 GitHub 识别。

解决方法。

您可以将默认分支更改为存储库中的任何分支！ 包括您为解决安全问题所做的工作。

1. 在 GitHub 上，导航到存储库的主页。
2. 在您的存储库名称下，单击设置。
3. 在左侧菜单中，单击分支。
4. 选择新的默认分支。

将默认分支更改为已完成解析工作的分支后，GitHub 的安全警报功能将开始扫描该分支。

您应该会看到已解决的安全警报消失了。

之后，您可以将默认分支更改回主分支，并且仅在您专门致力于解决安全漏洞时才更改它。