リポジトリ内の脆弱な依存関係を表示・更新する

リポジトリの GitHub Dependabot アラートタブには、オープンおよびクローズしている GitHub Dependabotアラート、および対応する GitHub Dependabotセキュリティアップデート がすべて一覧表示されます。 ドロップダウンメニューを使用してアラートのリストを並べ替えることができます。また、特定のアラートをクリックしてその詳細を表示することもできます。 詳しい情報については、「脆弱性のある依存関係に対するアラートについて」を参照してください。

GitHub Dependabotアラート と依存関係グラフを使用するリポジトリの自動セキュリティ更新を有効にすることができます。 詳しい情報については、「GitHub Dependabotセキュリティアップデート を設定する」を参照してください。

1. GitHubで、リポジトリのメインページにアクセスしてください。
2. リポジトリ名の下で Security（セキュリティ）をクリックしてください。
   
3. セキュリティのサイドバーで、Dependabot alerts（Dependabotアラート）をクリックしてください。
   
4. 表示したいアラートをクリックします。
   
5. 脆弱性の詳細を確認し、可能な場合は、自動セキュリティアップデートを含むプルリクエストを確認します。
6. 必要に応じて、アラートに対する GitHub Dependabotセキュリティアップデート アップデートがまだ入手できない場合、脆弱性を解決するプルリクエストを作成するには、[Create Dependabot security update] をクリックします。
   
7. 依存関係を更新して脆弱性を解決する準備ができたら、プルリクエストをマージしてください。
8. 必要に応じて、アラートが正しく修正されていない場合や、未使用のコード内に含まれている場合は、[Dismiss] ドロップダウンを使用して、アラートを却下する理由をクリックします。
   

参考リンク

• 「脆弱性のある依存関係に対するアラートについて」
• GitHub Dependabotセキュリティアップデートの設定
• Organization のリポジトリ内の脆弱性のある依存関係に関するアラートの管理