Sie verwenden Dependabot, um Abhängigkeiten in einem GitHub-Repository zu scannen. Welche zwei Aktionen lösen automatisch einen Dependabot-Scan aus? Jede richtige Antwort ist eine vollständige Lösung.

Dependabot scannt automatisch, wenn sich der Abhängigkeitsgraph eines Repositorys ändert, beispielsweise durch Hinzufügen oder Entfernen von Abhängigkeiten in Manifestdateien wie package.json oder pom.xml. Dies stellt sicher, dass neue oder entfernte Abhängigkeiten sofort auf bekannte Schwachstellen überprüft werden. Ein weiterer Auslöser ist das Hinzufügen einer neuen Sicherheitsberatung (Advisory) zu einer Abhängigkeit, die bereits im Repository verwendet wird. Dependabot reagiert darauf, indem es prüft, ob das Repository von der neuen Schwachstelle betroffen ist. Die Erstellung eines Pull Requests oder das Forken eines Branches löst keinen automatischen Scan aus, da diese Aktionen nicht direkt die Abhängigkeiten des Hauptzweigs ändern. Auch nicht jeder einzelne Commit löst einen Scan aus, um unnötige Scans zu vermeiden; stattdessen konzentriert sich Dependabot auf Änderungen an den Abhängigkeitsdateien selbst.