リポジトリの依存関係を調べる

依存関係グラフを使用すると、プロジェクトが依存しているパッケージを確認できます。また、その依存関係で脆弱性が検出されると、それも表示されます。

この機能を使用できるユーザーについて

リポジトリ管理者、組織の所有者、リポジトリへの書き込みまたは保守アクセス権を持つユーザー

この記事の内容

依存関係グラフの表示

依存関係グラフには、リポジトリの依存関係が表示されます。依存関係の検出と、サポートされているエコシステムについては、「依存関係グラフでパッケージエコシステムをサポート」をご覧ください。

GitHub で、リポジトリのメインページに移動します。
リポジトリ名の下にある [分析情報] をクリックします。
左側のサイドバーで、 [Dependency graph] (依存関係グラフ) をクリックします。

Enterprise 所有者は、Enterprise レベルで依存関係グラフを構成することができます。詳しくは、「企業の依存関係グラフの有効化」を参照してください。

依存関係ビュー

リポジトリのマニフェストまたはロックファイルで指定されている直接および間接の依存関係は、、リストで表示されます。

依存関係送信 API を使ってプロジェクトに送信された依存関係は、やはりエコシステムによってグループ化されますが、リポジトリ内のマニフェストまたはロックファイルによって識別される依存関係とは別に表示されます。これらの送信された依存関係は、依存関係のスナップショットまたはセットとして送信されるため、依存関係グラフに "スナップショット依存関係" として表示されます。依存関係送信 API の使い方について詳しくは、「Dependency Submission API を使用する」をご覧ください。

リポジトリで脆弱性が検出された場合、それらはDependabot alertsにアクセスできるユーザに、ビューの上部で表示されます。

注: GitHub Enterprise Server では、 [依存] ビューに情報が入力されません。

依存関係グラフのトラブルシューティング

依存関係グラフが空の場合は、依存関係を含むファイルに問題があるかもしれません。ファイルがファイルタイプに合わせて適切にフォーマットされているかをチェックしてください。

マニフェストまたはロックファイルが処理されない場合、その依存関係は依存関係グラフから省略され、安全でない依存関係はチェックされなくなります。

参考資料

「依存関係グラフについて」
「Dependabot アラートの表示と更新」