GitHub启用了一项安全告警功能，通过扫描项目依赖项检测出存在的隐患。一旦扫描出漏洞，用户会收到告警和漏洞的详细信息，包括严重级别和相应的解决办法。
该特性基于最近推出的依赖项图功能而构建，GitHub 自动扫描项目的依赖项，并将结果展示给用户。
GitHub 旨在通过交叉引用依赖项数据和安全数据尽可能多地识别隐患，并尽快告知用户。他们使用了机器学习技术，并结合了一些公共数据：
具有 CVE ID（National Vulnerability Database 发布的公开漏洞）的漏洞都将被包含在安全告警当中。不过，并不是所有的漏洞都有 CVE ID，很多已公开的漏洞并没有相应的 CVE ID。随着安全数据量的增长，我们将继续竭力更好地识别漏洞。
被识别出来的漏洞会获得一个以 CVE 记录为依据的安全严重级别，用户根据实际情况打上补丁或进行问题修复：
在获知代码仓库中存在依赖项漏洞之后，应该分析它们对项目的影响，在更新依赖项之前要确保这些漏洞已得到修复。如果依赖项没有推出安全修复，建议移除该依赖项，使用安全的同类依赖项来替代。
默认情况下，该特性会扫描所有的公共代码库，也会选择性地扫描部分私有代码库。不过扫描结果不会被公开。目前只支持 Ruby 和 JavaScript 的代码仓库，GitHub 预计在 2018 年支持 Python。 GitHub 官方文档提供了更多相关信息。
查看英文原文： GitHub Launches Security Alerts
暂无签名
最新发布
Serverless 加 CRDT 是 Edge 的未来
2017-11-29
Evernote 从自有数据中心到 Google 云的迁移 - 第 1 篇
2017-03-30
Evernote 从自有数据中心到 Google 云的迁移 - 第 2 篇
2017-04-04
中国开发者画像洞察研究报告 2024
分析开发者的行为模式、工作价值、职业发展等内容，帮助整个行业生态更深入地理解开发者，为他们提供更精准...
打破孤岛 — 质量中台工程化变迁
QCon 大会内容策划思路
AI 大模型技术在数据库 DevOps 的实践
评论