Noções básicas sobre a tabela
O grafo de dependência dá suporte a diferentes métodos de envio de dados para dependências diretas e indiretas (transitivas). Confira Como o grafo de dependência reconhece dependências.
Na tabela abaixo:
- As Dependências transitivas estáticas, os Dependabot trabalhos de grafo (atualmente não disponíveis para GitHub Enterprise Server) e as colunas de Envio de dependência automática mostram métodos compatíveis para o envio de dados.
- A coluna dependências transitivas estáticas também indica se a análise estática adicionará rótulos
directetransitivepara os pacotes dependentes nesse ecossistema. - A coluna Dependabot trabalhos de grafo indica se Dependabot pode gerar grafos de dependência usando sua respectiva infraestrutura de tarefas. Quando há suporte, este método prevalece sobre a submissão automática de dependências. Confira Como o grafo de dependência reconhece dependências.
- A coluna de arquivos recomendados sugere formatos que definem explicitamente quais versões são usadas para todas as dependências diretas e indiretas. Esses arquivos bloqueiam as versões do pacote para as incluídas no build e permitem que o Dependabot encontre versões vulneráveis em dependências diretas e indiretas.
Ecossistemas de pacotes com suporte
| Gerenciador de pacotes | Idiomas | Dependências transitivas estáticas | Tarefas de grafo do Dependabot | Envio automático de dependência | Arquivos recomendados | Arquivos adicionais |
|---|---|---|---|---|---|---|
| Cargo | Rust | Cargo.lock | Cargo.toml | |||
| Composer | PHP | composer.lock | composer.json | |||
| NuGet | .NET idiomas (C#, F#, VB), C++ | |||||
.csproj, .vbproj, .nuspec, , .vcxproj``.fsproj | packages.config | |||||
| GitHub Actions Fluxos | YAML | |||||
.yml, .yaml | ||||||
| Módulos Go | Go | go.mod | ||||
| Gradle | Java | |||||
| Maven | Java, Scala | pom.xml | ||||
| npm | JavaScript | package-lock.json | package.json | |||
| pip | Python | |||||
requirements.txt, pipfile.lock | ||||||
pipfile, setup.py | ||||||
| pnpm | JavaScript | pnpm-lock.yaml | package.json | |||
| pub | Dart | pubspec.lock | pubspec.yaml | |||
| Poesia | Python | poetry.lock | pyproject.toml | |||
| RubyGems | Ruby | Gemfile.lock | ||||
Gemfile, *.gemspec | ||||||
| Gerenciador de Pacotes Swift | Swift | Package.resolved | ||||
| Yarn | JavaScript | yarn.lock | package.json |
Observação
- Se você listar suas dependências de Python em um arquivo
setup.py, talvez não possamos analisar e listar todas as dependências em seu projeto.
GitHub Actions os fluxos de trabalho devem estar localizados no .github/workflows/ diretório de um repositório para serem reconhecidos como manifestos. As ações ou os fluxos de trabalho referenciados com a sintaxe jobs[*].steps[*].uses ou jobs.<job_id>.uses serão analisados como dependências. Para saber mais, confira Sintaxe de fluxo de trabalho para o GitHub Actions.
* Para GitHub Actions, os alertas são gerados apenas para ações que usam versionamento semântico, não versionamento SHA. Para obter mais informações, consulte Alertas do Dependabot e Atualizações de versão do Dependabot.