Revendo alterações de dependência em um pull request

Sobre revisão de dependências

Dependency review helps you understand dependency changes and the security impact of these changes at every pull request. It provides an easily understandable visualization of dependency changes with a rich diff on the "Files Changed" tab of a pull request. Dependency review informs you of:

• Which dependencies were added, removed, or updated, along with the release dates.
• How many projects use these components.
• Vulnerability data for these dependencies.

Revisão de dependência permite a você "desloque para a esquerda". Você pode usar as informações preditivas fornecidas para capturar dependências vulneráveis antes que elas cheguem à produção. Para obter mais informações, consulte "Sobre a revisão de dependências".

Revisar as dependências em um pull request

1. Abaixo do nome do seu repositório, clique em Pull requests.
2. Na lista de solicitações pull, clique na solicitação pull que você quer revisar.
3. On the pull request, click Files changed.

1. Se o pull request contiver muitos arquivos, use o menu suspenso Filtro de arquivo para recolher todos os arquivos que não registram dependências. Isso fará com que seja mais fácil focar a sua revisão nas alterações de dependência.

   

2. À direita do cabeçalho de um manifesto ou arquivo de bloqueio, exiba a revisão de dependências clicando no botão de diff avançado.

   

   Observação: A revisão de dependências fornece uma visão mais clara do que foi alterado em arquivos de bloqueio grandes, em que o diff de origem não é renderizado por padrão.

3. Verifique as dependências listadas na revisão sobre dependências.

   

   Quaisquer dependências adicionadas ou alteradas com vulnerabilidades são listadas primeiro, ordenadas por gravidade e, posteriormente, pelo nome da dependência. Isso significa que as dependências de severidade mais elevadas estão sempre na parte superior de uma revisão de dependência. Outras dependências estão listadas em ordem alfabética pelo nome das dependências.

   O ícone ao lado de cada dependência indica se a dependência foi adicionada (), atualizada () ou removida () neste pull request.

   Outras informações incluem:

   • A versão, ou intervalo de versão, da nova dependência, atualizada ou excluída.
   • Para uma versão específica de uma dependência:
     • A idade daquela versão da dependência.
     • O número de projetos que são dependentes deste software. Essa informação é tirada do gráfico de dependências. Verificar o número de dependentes pode ajudar você a evitar adicionar acidentalmente a dependência incorreta.
     • A licença usada por esta dependência, se estas informações estiverem disponíveis. Isso é útil se você desejar evitar o código com certas licenças usadas no seu projeto.

   Quando uma dependência tem uma vulnerabilidade conhecida, a mensagem de aviso inclui:

   • Uma breve descrição da vulnerabilidade.
   • Vvulnerabilidades e Exposições Comuns (CVE) ou um número de identificação de Aviso de Segurança do GitHub (GHSA). Você pode clicar nesse ID para saber mais sobre a vulnerabilidade.
   • A gravidade da vulnerabilidade.
   • A versão da dependência na qual a vulnerabilidade foi corrigida. Se você estiver revisando um pull request para alguém, você pode pedir ao contribuidor para atualizar a dependência para a versão corrigida ou para uma versão posterior.

4. É possível que você também queira revisar o diff da fonte, porque pode haver alterações no manifesto ou arquivo de bloqueio que não mudam as dependências, ou pode haver dependências que GitHub não pode analisar e que, consequentemente, não aparecem na revisão de dependências.

   Para retornar à visão do diff de origem, clique no botão .