# Dependabot 快速入门指南
查找并修复您所依赖的 Dependabot 易受攻击的依赖项。
## 关于 Dependabot
本快速入门指南指导你完成设置和启用 Dependabot、查看 Dependabot alerts和更新存储库以使用依赖项的安全版本。
Dependabot 由三种不同的功能组成，可帮助你管理依赖项：
* Dependabot alerts：就存储库中使用的依赖项中的漏洞问题通知你。
* Dependabot security updates：自动引发拉取请求，以更新你使用的具有已知安全漏洞的依赖项。
* Dependabot version updates：自动引发拉取请求以使依赖项保持最新。
## 先决条件
在本指南中，我们将使用一个演示存储库来演示Dependabot如何查找依赖项中的漏洞、在Dependabot alertsGitHub中查看漏洞，以及如何浏览、修复或忽略这些警报。
首先需要创建演示存储库的分支。
1. 导航到 [https://github.com/dependabot/demo](https://github.com/dependabot/demo?ref_product=supply-chain-security\&ref_type=engagement\&ref_style=text)。
2. 在页面顶部右侧，单击 ** 分支**。
3. 选择所有者（可以选择个人 GitHub 帐户），然后键入存储库名称。 有关派生存储库的详细信息，请参阅 [为存储库创建分支](/zh/enterprise-cloud@latest/pull-requests/collaborating-with-pull-requests/working-with-forks/fork-a-repo#forking-a-repository)。
4. 单击“创建分支”\*\*\*\*。
## 为你的存储库启用 Dependabot
你需要在[先决条件](#prerequisites)中分支的存储库上执行以下步骤。
1. 在 GitHub 上，导航到存储库的主页面。
2. 在仓库名称下，单击 “Settings”\*\*\*\*。 如果看不到“设置”选项卡，请选择“”下拉菜单，然后单击“设置”。
3. 在边栏的“Security”部分中，单击“ Advanced Security”\*\*\*\*。
4. 在Dependabot下，为\*\*\*\*、Dependabot alerts和Dependabot security updates单击“启用”。
5. 如果您单击**启用**，则可以编辑Dependabot version updates在您的存储库的`dependabot.yml`目录中为您创建的默认GitHub配置文件`/.github`。
若要为存储库启用 Dependabot version updates ，通常通过编辑默认文件并提交更改来配置此文件以满足需求。 有关示例，可以参考 [配置 Dependabot 版本更新](/zh/enterprise-cloud@latest/code-security/how-tos/secure-your-supply-chain/secure-your-dependencies/configure-version-updates#example-dependabotyml-file) 中提供的代码片段。
> \[!NOTE]
> 如果尚未为存储库启用依赖关系图，当您启用GitHub时，Dependabot将自动启用它。
有关配置每个Dependabot功能的详细信息，请参阅 [AUTOTITLE、](/zh/enterprise-cloud@latest/code-security/how-tos/secure-your-supply-chain/secure-your-dependencies/configure-dependabot-alerts)[配置 Dependabot 安全更新](/zh/enterprise-cloud@latest/code-security/how-tos/secure-your-supply-chain/secure-your-dependencies/configure-security-updates) 和 [配置 Dependabot 版本更新](/zh/enterprise-cloud@latest/code-security/how-tos/secure-your-supply-chain/secure-your-dependencies/configure-version-updates)。
## 查看 Dependabot alerts 存储库
如果为存储库启用了Dependabot alerts，可以在该存储库的Dependabot alerts选项卡上查看 Security and quality。 你可以使用上一节中启用了 Dependabot alerts 的分支存储库。
1. 在 GitHub 上，导航到存储库的主页面。
2. 在存储库名称下，单击 ** Security and quality** 选项卡。如果看不到“ Security and quality”选项卡，请选择 **** 下拉菜单，然后单击 ** Security and quality**。
3. 在边栏的“查找”部分中，选择 **Dependabot** 下拉菜单，然后单击“ **漏洞**”。
4. 查看Dependabot alerts页面上的公开警报。 默认情况下，该页面显示“打开”选项卡，其中列出了打开的警报。 （可以通过单击“已关闭”来查看任何已关闭的警报。）
可以使用各种筛选器或标签在列表中进行筛选 Dependabot alerts 。 有关详细信息，请参阅“[查看和更新 Dependabot 警报](/zh/enterprise-cloud@latest/code-security/how-tos/manage-security-alerts/manage-dependabot-alerts/view-dependabot-alerts#prioritizing-dependabot-alerts)”。 您还可以通过使用 Dependabot 自动分类规则 来筛选出误报或您不感兴趣的警报。 有关详细信息，请参阅“[Dependabot 自动分类规则](/zh/enterprise-cloud@latest/code-security/concepts/supply-chain-security/dependabot-auto-triage-rules)”。
5. 单击 `javascript/package-lock.json` 文件中的“lodash 中的命令注入”警报。 警报的详细信息页将显示以下信息（请注意，某些信息可能不适用于所有警报）：
* Dependabot 是否创建了将修复漏洞的拉取请求。 可以通过单击“查看安全更新”来查看建议的安全更新。
* 涉及的包
* 受影响版本
* 已修补版本
* 漏洞的简要说明
6. （可选）还可以浏览页面右侧的信息。 屏幕截图中显示的某些信息可能不适用于每个警报。
* Severity
* CVSS 指标：我们使用 CVSS 级别来分配严重性级别。 有关详细信息，请参阅“[GitHub 通告数据库](/zh/enterprise-cloud@latest/code-security/concepts/vulnerability-reporting-and-management/github-advisory-database#about-cvss-levels)”。
* 标记
* 弱点：与漏洞相关的 CWE 列表（如果适用）
* CVE ID：漏洞的唯一 CVE 标识符（如果适用）
* GHSA ID：GitHub Advisory Database
上相应公告的唯一标识符。 有关详细信息，请参阅“[GitHub 通告数据库](/zh/enterprise-cloud@latest/code-security/concepts/vulnerability-reporting-and-management/github-advisory-database#about-ghsa-ids)”。
* 导航到 GitHub Advisory Database
上公告的选项
* 用于查看受此漏洞影响的所有存储库的选项
* 在 GitHub Advisory Database
上建议改进此公告的选项
有关查看、确定优先级和排序 Dependabot alerts的详细信息，请参阅 [查看和更新 Dependabot 警报](/zh/enterprise-cloud@latest/code-security/how-tos/manage-security-alerts/manage-dependabot-alerts/view-dependabot-alerts)。
## 修复或消除 Dependabot 警报
可以在Dependabot alerts上修复或忽略GitHub。 让我们继续以分支存储库为例，以及上一节中描述的“lodash 中的命令注入”警报。
1. 请导航到存储库的Dependabot选项卡。 有关详细信息，请参阅上面的[“查看Dependabot alerts存储库”](#viewing-dependabot-alerts-for-your-repository)部分。
2. 单击警报。
3. 单击 `javascript/package-lock.json` 文件中的“lodash 中的命令注入”警报。
4. 查看警报。 您可以：
* 通过单击“查看安全更新”来查看建议的安全更新。 这将打开由 Dependabot 生成并包含安全修复的拉取请求。
* 在拉取请求说明中，你可以单击“提交”\*\*\*\* 以浏览拉取请求中包含的提交。
* 还可以单击 **Dependabot 命令和选项** ，了解可用于与拉取请求交互的命令。
* 当您准备好更新依赖项并解决漏洞时，合并拉取请求。
* 如果你决定要忽略警报
* 返回警报详细信息页。
* 在右上角，按下“**关闭警报**”。
* 选择忽略警报的原因。
* （可选）添加消除注释。 消除操作注释将添加到警报时间线，可在审核和报告期间用作理由。
* 单击“消除警报”。 警报将不再会在警报列表的“未解决”\*\*\*\* 选项卡中显示，但可以在“已解决”\*\*\*\* 选项卡中查看。
有关查看和更新 Dependabot alerts的详细信息，请参阅 [查看和更新 Dependabot 警报](/zh/enterprise-cloud@latest/code-security/how-tos/manage-security-alerts/manage-dependabot-alerts/view-dependabot-alerts#reviewing-and-fixing-alerts)。
## 故障排除
在以下情况下，可能需要执行一些故障排除：
* Dependabot 被阻止创建拉取请求以修复警报，或
* 所 Dependabot 报告的信息不是你所期望的信息。
有关详细信息，请分别参阅 [Dependabot 错误](/zh/enterprise-cloud@latest/code-security/reference/supply-chain-security/troubleshoot-dependabot/dependabot-errors) 和 [脆弱性依赖检测](/zh/enterprise-cloud@latest/code-security/reference/supply-chain-security/troubleshoot-dependabot/vulnerability-detection)。
## 后续步骤
有关配置 Dependabot 更新的详细信息，请参阅 [配置 Dependabot 安全更新](/zh/enterprise-cloud@latest/code-security/how-tos/secure-your-supply-chain/secure-your-dependencies/configure-security-updates) 和 [配置 Dependabot 版本更新](/zh/enterprise-cloud@latest/code-security/how-tos/secure-your-supply-chain/secure-your-dependencies/configure-version-updates)。
有关为组织配置 Dependabot 的详细信息，请参阅 [配置 Dependabot 警报](/zh/enterprise-cloud@latest/code-security/how-tos/secure-your-supply-chain/secure-your-dependencies/configure-dependabot-alerts#managing-dependabot-alerts-for-your-organization)。
有关查看 Dependabot 打开的拉取请求的详细信息，请参阅 [管理依赖项更新的所有拉取请求](/zh/enterprise-cloud@latest/code-security/how-tos/secure-your-supply-chain/manage-your-dependency-security/manage-dependabot-prs#viewing-dependabot-pull-requests)。
有关促成 Dependabot alerts 的安全公告的详细信息，请参阅 [在 GitHub Advisory Database 中浏览安全公告](/zh/enterprise-cloud@latest/code-security/how-tos/report-and-fix-vulnerabilities/fix-reported-vulnerabilities/browse-advisory-database)。
有关配置Dependabot alerts通知的详细信息，请参阅[为 Dependabot 警报配置通知](/zh/enterprise-cloud@latest/code-security/how-tos/secure-your-supply-chain/manage-your-dependency-security/configure-dependabot-notifications)。