依赖关系图疑难排解

GitHub 报告的依赖项检测结果可能不同于其他工具返回的结果。 这是有原因的，它有助于了解 GitHub 如何确定项目的依赖项。

依赖项图是否只查找清单和锁文件中的依赖项？

依赖项关系图自动包含在环境中明确声明的依赖项的信息。 也就是说，在清单或锁定文件中指定的依赖项。 依赖项图通常还包括过渡依赖项，即使它们没有在锁定文件中指定，也可以通过查看清单文件中的依赖项来实现。

依赖项关系图不自动包含“松散”依赖项。 “宽松”依赖项是指从另一个来源复制并直接或在存档文件（例如 ZIP 或 JAR 文件）中检入仓库的单个文件，而不是在包管理器的清单或锁定文件中引用的文件。

但是，可以使用 依赖项提交 API 将依赖项添加到项目的依赖项关系图中，即使依赖项未在清单或锁定文件中声明，例如在生成项目时解析的依赖项。 使用 依赖项提交 API 提交到项目的依赖项将显示用于提交的检测器以及提交时间。 有关 依赖项提交 API 的详细信息，请参阅“使用依赖项提交 API”。

检查：是否在存储库清单或锁定文件中未指定组件的依赖项？

依赖项图是否检测使用变量指定的依赖项？

依赖项图在清单被推送到 GitHub 时分析它们。 因此，依赖项图无法访问项目的构建环境，从而无法解析清单中使用的变量。 如果在清单中使用变量指定名称，或指定依赖项的版本（更常见），则该依赖项不会自动包含在依赖项关系图中。

但是，可以使用 依赖项提交 API 将依赖项添加到项目的依赖项关系图中，即使仅当生成项目时才解析依赖项。 有关 依赖项提交 API 的详细信息，请参阅“使用依赖项提交 API”。

检查：在清单中缺少的依赖项是否使用变量声明其名称或版本？

是否存在影响依赖项图数据的限制？

是的，依赖项关系图有一类限制：

1. 处理限制

   这会影响 GitHub 中显示的依赖项图，还会阻止 Dependabot alerts 的创建。

   仅为企业帐户处理大小超过 0.5 MB 的清单。 对于其他帐户，将忽略超过 0.5 MB 的清单，并且不会创建 Dependabot alerts。

   默认情况下，对于每个存储库，GitHub 处理的清单数量不会超过 150 个。 不会为超出此限制的清单创建 Dependabot alerts，并且如果超出此限制，Dependabot alerts 的行为可能不可预见。

   如果清单文件存储在其名称通常用于所提供的依赖项的目录中，则不会处理这些文件。 名称与以下正则表达式匹配的目录被视为提供的依赖项目录：

   • (3rd|[Tt]hird)[-_]?[Pp]arty/
   • (^|/)vendors?/
   • (^|/)[Ee]xtern(als?)?/
   • (^|/)[Vv]+endor/

   示例：

   • third-party/dependencies/dependency1
   • vendors/dependency1
   • /externals/vendor1/dependency1

延伸阅读

• “关于依赖关系图”
• “管理存储库的安全和分析设置”
• “漏洞依赖项检测疑难解答”
• “排查 Dependabot 错误”