如何将 Dependabot 与 azure repo 集成

Question

我正在联系，看看是否有人有将 Dependabot 与 Azure Repos 集成的经验，并且愿意分享他们关于设置它以实现高效依赖管理的见解或建议。此外，如果有人知道任何可以提供帮助的 Udemy 或 YouTube 教程，我们将不胜感激。

我们目前面临着由于过时的 npm/nuget 软件包而导致的 SCA 漏洞，并且正在寻找自动化更新的方法以节省时间，可能通过管道或 DevOps 解决方案。

Answer 1

通过 Dependabot 安全更新自动修复检测到的依赖项扫描漏洞是我们期望为 GitHub Advanced Security for Azure DevOps 提供的新功能之一。尽管此功能是我们愿景的一部分，但它目前与我们的路线图上的特定版本无关。

我们将 Dependabot 安全更新的强大功能引入 Azure DevOps 中的 GitHub 高级安全性。这将允许高级安全用户启用自动创建拉取请求以进行依赖项漏洞检测。

Dependabot 安全更新将使您更轻松地修复存储库中易受攻击的依赖项。启用此功能后，当针对存储库中存在漏洞的依赖项发出 Dependabot 警报时，Dependabot 会自动尝试修复它。

Dependabot 将检查是否可以将易受攻击的依赖项升级到固定版本，而不会破坏存储库的依赖项图。然后 Dependabot 将提出拉取请求，将依赖项更新为包含补丁的最低版本，并将拉取请求链接到依赖项扫描警报。