Reviewing dependency changes in a pull request

Review dependency changes in pull requests to identify added, updated, or removed dependencies and detect vulnerabilities before they reach production.

Wer kann dieses Feature verwenden?

Die Abhängigkeitsüberprüfung ist für die folgenden Repositorytypen verfügbar:

  • Öffentliche Repositorys auf GitHub.com
  • Repositorys im Besitz von Organisationen auf GitHub Team, die GitHub Code Security aktiviert haben

In diesem Artikel

About dependency review

Die Abhängigkeitsüberprüfung hilft Dir, Abhängigkeitsänderungen und die Sicherheitswirkung dieser Änderungen bei jedem Pull Request zu verstehen. Sie bietet eine leicht verständliche Visualisierung von Abhängigkeitsänderungen mit Rich-Diff auf der Registerkarte „Geänderte Dateien“ eines Pull Requests. Die Abhängigkeitsüberprüfung informiert Dich über:

  • Welche Abhängigkeiten hinzugefügt, entfernt oder aktualisiert wurden, sowie die Releasedaten
  • Wie viele Projekte diese Komponenten verwenden
  • Sicherheitsrisikodaten für diese Abhängigkeiten

Dependency review helps you find vulnerable dependencies before they reach production. See Abhängigkeitsüberprüfung.

You can use the Abhängigkeitsüberprüfungsaktion to help enforce dependency reviews on pull requests in your repository. Die Abhängigkeitsüberprüfungsaktion prüft deine Pull Requests auf Änderungen bei Abhängigkeiten und gibt einen Fehler aus, wenn neue Abhängigkeiten bekannte Sicherheitsrisiken aufweisen. Die Aktion wird von einem API-Endpunkt unterstützt, der die Abhängigkeiten zwischen zwei Revisionen vergleicht und etwaige Unterschiede meldet.

Weitere Informationen zur Aktion und zum API-Endpunkt findest du in der Dokumentation dependency-review-action und unter REST-API-Endpunkte für die Abhängigkeitsüberprüfung.

You can configure the Abhängigkeitsüberprüfungsaktion to better suit your needs by specifying the type of dependency vulnerability you want to catch. See Konfigurieren der Aktion zur Überprüfung von Abhängigkeiten.

Reviewing dependencies in a pull request

  1. Klicke unter dem Namen deines Repositorys auf Pull requests.

    Screenshot der Hauptseite eines Repositorys. In der horizontalen Navigationsleiste ist eine Registerkarte mit der Bezeichnung „Pull Requests“ dunkelorange umrandet.

  2. Klicke in der Liste der Pull Requests auf den Pull Request, den Du überprüfen möchtest.

  3. Klicke im Pull Request auf Files changed.

    Screenshot der Registerkarten für einen Pull Request. Die Registerkarte „Dateien geändert“ ist dunkelorange umrandet.

  4. If the pull request contains many files, use the File filter drop-down menu to collapse all files that don't record dependencies. This makes it easier to focus your review on the dependency changes.

    Screenshot of the "Changed files" tab. A dropdown labeled "File filter" is expanded, displaying a list of file types with checkboxes. The dependency review provides a clearer view of what has changed in large lock files, where the source diff is not shown by default.

    Hinweis

    Dependency review rich diffs are not available for committed static JavaScript files like jquery.js.

  5. To display the dependency review, click on the right of the header for a manifest or lock file.

    Screenshot of the "Files changed" tab of a pull request. The button to display the rich diff, labeled with a file icon, is outlined in dark orange.

  6. Check the dependencies listed in the dependency review.

    Screenshot of the vulnerability warnings in a dependency review for a pull request.

    Any added or changed dependencies that have vulnerabilities are listed first, ordered by severity and then by dependency name. This means that the highest severity dependencies are always at the top of a dependency review. Other dependencies are listed alphabetically by dependency name.

    The icon beside each dependency indicates whether the dependency has been added (), updated (), or removed () in this pull request.

    Other information includes:

    • The version, or version range, of the new, updated, or deleted dependency.
    • For a specific version of a dependency:
      • The age of that release of the dependency.
      • The number of projects that depend on this software. This information is taken from the dependency graph. Checking the number of dependents can help you avoid accidentally adding the wrong dependency.
      • The license used by this dependency, if this information is available. This is useful if you want to avoid using code with certain licenses in your project.

    Where a dependency has a known vulnerability, the warning message includes:

    • A brief description of the vulnerability.
    • A Common Vulnerabilities and Exposures (CVE) or GitHub Security Advisories (GHSA) identification number. You can click this ID to find out more about the vulnerability.
    • The severity of the vulnerability.
    • The version of the dependency in which the vulnerability was fixed. If you are reviewing a pull request for someone, you might ask the contributor to update the dependency to the patched version, or a later release.

  7. Du solltest auch das Quell-Diff überprüfen, da es möglicherweise Änderungen an der Manifest- oder Sperrdatei gibt, die keine Abhängigkeiten ändern. Zudem besteht die Möglichkeit, dass Abhängigkeiten verfügbar sind, die GitHub nicht analysieren kann und die daher nicht in der Abhängigkeitsüberprüfung angezeigt werden.

    Klicke auf die Schaltfläche , um zur Ansicht für das Quelldiff zurückzukehren.

    Screenshot der Registerkarte „Geänderte Dateien“ eines Pull Requests. Die Schaltfläche zum Anzeigen des Quell-Diffs, angezeigt mit einem Codesymbol, ist orange umrandet.