Sie verwalten Code in GitHub und müssen sicherstellen, dass Repository-Besitzer benachrichtigt werden, wenn eine neue anfällige Abhängigkeit oder Malware erkannt wird. Was sollten Sie konfigurieren?

Dependabot-Benachrichtigungen sind die korrekte Wahl, da sie speziell dafür entwickelt wurden, Repository-Besitzer über anfällige Abhängigkeiten und veraltete Bibliotheken zu informieren. Dependabot scannt automatisch die Abhängigkeiten in Ihren Projekten und erstellt bei Bedarf Pull Requests, um diese zu aktualisieren oder Sicherheitslücken zu beheben. CodeQL-Scan-Aktionen konzentrieren sich auf die Analyse des Quellcodes selbst, um Sicherheitslücken zu finden, nicht auf Abhängigkeiten. Branch-Schutzregeln dienen dazu, die Qualität und Stabilität von Branches zu gewährleisten, indem sie bestimmte Bedingungen für Merges erzwingen, aber sie erkennen keine Schwachstellen in Abhängigkeiten. Das Abonnieren der GitHub Advisory Database würde zwar Informationen liefern, aber es würde keine automatischen Benachrichtigungen spezifisch für die Abhängigkeiten eines Repositorys an die Besitzer senden oder Vorschläge zur Behebung machen.