Gestisci il codice in GitHub e devi assicurarti che i proprietari dei repository vengano notificati se viene rilevata una nuova dipendenza vulnerabile o un malware. Cosa dovresti configurare?

Gli avvisi Dependabot notificano automaticamente i proprietari dei repository (o altri team configurati) quando vengono rilevate vulnerabilità nelle dipendenze del codice. Questo include nuove dipendenze vulnerabili e potenziali problemi di malware associati alle dipendenze. Le azioni di scansione CodeQL sono utilizzate per l'analisi statica del codice per trovare vulnerabilità e errori, ma non gestiscono specificamente gli avvisi sulle dipendenze vulnerabili. Le regole di protezione dei branch impediscono modifiche dirette ai branch importanti e applicano requisiti di revisione, ma non sono correlate al rilevamento di vulnerabilità nelle dipendenze. L'iscrizione al GitHub Advisory Database è per ricevere informazioni generali sulle vulnerabilità, non per notifiche automatiche specifiche del repository sulle dipendenze utilizzate.