保护您的仓库_GitHub中文网

依赖项审查是一项 GitHub Advanced Security 功能。已为所有公共存储库启用了依赖项审查。将 GitHub Enterprise Cloud 与 Advanced Security 一起使用的组织还可以对私有和内部存储库启用依赖项审查。有关详细信息，请参阅 GitHub Enterprise Cloud 文档。

管理 Dependabot security updates

对于任何使用 Dependabot alerts 的仓库，您可以启用 Dependabot security updates 在检测到漏洞时提出带有安全更新的拉取请求。

从存储库的主页中，单击“设置”。
单击“安全性和分析”。
在 Dependabot security updates 旁边，单击“启用”。

有关详细信息，请参阅“关于 Dependabot 安全更新”和“配置 Dependabot 安全更新”。

管理 Dependabot version updates

您可以让 Dependabot 自动提出拉取请求以保持依赖项的更新。有关详细信息，请参阅“关于 Dependabot 版本更新”。

从存储库的主页中，单击“ 设置”。
单击“安全性和分析”。
在 Dependabot version updates 旁，单击“启用”以创建基本 dependabot.yml 配置文件。****
指定要更新的依赖项和任何关联的配置选项，并将文件提交到存储库。有关详细信息，请参阅“配置 Dependabot 版本更新”。

配置 code scanning

可以使用 CodeQL 分析工作流程或第三方工具配置 code scanning，以自动识别存储库中存储的代码中的漏洞和错误。根据存储库中的编程语言，可以使用默认设置来配置使用 CodeQL 进行 code scanning，其中 GitHub 自动确定要扫描的语言、要运行的查询套件以及将触发新扫描的事件。有关详细信息，请参阅“配置代码扫描的默认设置”。

从存储库的主页中，单击“ 设置”。
在边栏的“安全性”部分中，单击“ 代码安全性和分析”。
在“Code scanning”部分中，选择“设置”，然后单击“默认” 。
在显示的弹出窗口中，查看存储库的默认配置设置，然后单击“启用 CodeQL”。

或者，可以使用高级设置，这会生成一个可编辑的工作流文件，以使用 CodeQL 自定义 code scanning。有关详细信息，请参阅“配置代码扫描的高级设置”。

Code scanning 适用于所有公共存储库，以及属于具有许可证的企业一部分的组织所拥有的私有存储库GitHub Advanced Security）。

配置 secret scanning

合作伙伴的机密扫描警报在 GitHub.com 上的公共存储库和公共 npm 包中自动运行，以向服务提供商通知泄漏的机密情况。

用户的机密扫描警报在所有公共存储库上免费提供。使用 GitHub Enterprise Cloud 且拥有 GitHub Advanced Security 许可证的组织也可以在其专用存储库和内部存储库上启用用户的机密扫描警报。

如果你的企业拥有 GitHub Advanced Security 的许可证，则有关详细信息，请参阅 “关于机密扫描”和“关于 GitHub 高级安全性”。

从存储库的主页中，单击“设置”。
单击“代码安全和分析”。
在 Secret scanning 旁边，单击“启用”。

设置安全策略

如果你是存储库维护者，最好通过在存储库中创建名为 SECURITY.md 的文件来为存储库指定安全策略。此文件指示用户在想要报告存储库中的安全漏洞时，如何最好地联系你并与你协作。可以从存储库的“安全”选项卡查看存储库的安全策略。

从存储库的主页中，单击“ 安全性”。
单击“安全策略”。
单击“开始设置”。
添加关于项目受支持版本以及如何报告漏洞的信息。

有关详细信息，请参阅“将安全策略添加到存储库”。

后续步骤

您可以查看和管理来自安全功能的警报，以解决代码中的依赖项和漏洞。有关详细信息，请参阅“查看和更新 Dependabot 警报”、 “管理依赖项更新的所有拉取请求”、“管理存储库的代码扫描警报”和“管理来自机密扫描的警报”。

此外，还可以使用 GitHub 的工具来审核对安全警报的响应。有关详细信息，请参阅“审核安全警报”。

如果您存在安全漏洞，您可以创建安全通告，以私下讨论和修复该漏洞。有关详细信息，请参阅“About repository security advisories”和“创建存储库安全公告”。

保护您的仓库

本文内容