GitHub 操作的 Dependabot.yml 安全更新

Question

我正在嘗試配置dependabot.yml以獲取 GitHub 操作的安全更新。

我遵循了配置 Dependabot 安全更新文檔。 在配置過程中，我遇到了以下問題：

• 我不明白是否需要在創建dependabot.yml的同時啟用Code security and analysis Dependabot alerts和Dependabot security updates 。
• 我不明白為什么 Dependabot 無法識別我操作中的安全漏洞。 我正在測試some-natalie/ghas-to-csv@v1動作，它有一個GHSA 。
• 我沒有從關於 Dependabot 安全更新文檔中了解到檢查漏洞並將其轉化為警報/PR 的頻率是多少。

也許配置沒有工作（還）因為 Dependabot 甚至沒有識別漏洞，因此沒有創建更新 PR。

你能幫我理解為什么我的配置不起作用嗎？ 或者如果它不受支持？

Answer 1

所有 Dependabot 功能都建立在軟件組合分析功能之上（該列表中第一個啟用的按鈕），這就是需要啟用該功能的原因。

然后它只檢查通過解析 repos 中的清單文件找到的 repo 的依賴項

對於安全警報和 PR，您不需要提交 Dependabot.yml 文件。 該文件僅在版本更新時需要。

最后，Dependabot 不會檢查您代碼中的安全漏洞，僅針對依賴項，如果您想對自己的代碼運行 static 代碼分析。 你試試CodeQL等SAST工具（靜態代碼分析工具。