The GitHub Blog
·
通过GitHub的依赖图了解您的软件供应链
💡
原文英文，约700词，阅读约需3分钟。
📝
内容提要
GitHub的依赖图帮助开发者识别软件供应链中的弱点，提供外部包的清晰视图，显示直接和间接依赖关系，增强项目管理和安全性。依赖图使Dependabot的安全警报成为可能，确保开发者及时处理漏洞，特别是在使用开源库时提升代码安全性。
🎯
关键要点
- GitHub的依赖图帮助开发者识别软件供应链中的弱点。
- 依赖图提供外部包的清晰视图，显示直接和间接依赖关系。
- 依赖图使开发者能够理解、保护和管理项目的真实足迹。
- 每个包是一个节点，每个依赖关系是一个边，形成软件外部代码库的完整可视化结构。
- 95-97%的代码实际上是其他人的，依赖图帮助开发者理解这一现实。
- 当开源包中发现漏洞时，后果会影响整个供应链。
- 依赖图是Dependabot警报的基础，确保开发者及时处理安全问题。
- 可以通过依赖图了解哪些依赖是直接的，哪些是传递的。
- 启用依赖图可以在GitHub的安全设置中进行，公共仓库免费使用。
- 依赖图帮助开发者在关键时刻采取行动，确保代码安全。
❓
延伸问答
GitHub的依赖图有什么作用？
GitHub的依赖图帮助开发者识别软件供应链中的弱点，提供外部包的清晰视图，显示直接和间接依赖关系，增强项目管理和安全性。
如何启用GitHub的依赖图？
可以在GitHub的安全设置中找到依赖图选项进行启用，公共仓库免费使用。
依赖图如何帮助处理安全漏洞？
依赖图是Dependabot警报的基础，确保开发者及时处理安全问题，特别是在开源包中发现漏洞时。
依赖图中直接依赖和传递依赖有什么区别？
直接依赖是项目中明确列出的依赖，而传递依赖是通过其他依赖间接引入的依赖。
为什么大部分代码是其他人的？
在现代软件项目中，95-97%的代码实际上是其他人的，依赖图帮助开发者理解这一现实。
使用依赖图有什么好处？
使用依赖图可以更好地理解项目的真实足迹，及时发现和处理安全问题，从而提升代码安全性。
➡️
