在临时专用分支中协作以解决存储库安全漏洞

Note

本文适用于以公共存储库所有者身份编辑存储库级别建议的情形。

不是存储库所有者的用户可以在 github.com/advisories 上的 GitHub Advisory Database 中参与全局安全建议。对全局公告的编辑不会改变或影响公告在存储库中的显示方式。有关详细信息，请参阅“在 GitHub Advisory Database 中编辑安全公告”。

先决条件

在临时私有复刻中进行协作之前，必须创建维护员通告草稿。有关详细信息，请参阅“创建存储库安全公告”。

创建临时私有复刻

任何对安全通告有管理权限的人都可以创建临时私有复刻。

为保证漏洞相关信息的安全，集成系统（包括 CI）无法访问临时私有复刻。

在 GitHub 上，导航到存储库的主页面。
在存储库名称下，单击“ 安全性”。如果看不到“安全性”选项卡，请选择下拉菜单并单击“安全性” 。
在左侧边栏中的“报告”下，单击“ 公告”。
在“安全公告”列表中，单击要在其中创建临时私有分支的安全公告的名称。
滚动到公告窗体底部，然后单击“启动临时私有分支”。

将创建存储库的私有分支，并显示在公告页上。

专用分支的命名约定与 GitHub Advisory Database 中用于公告的约定非常相似，并遵循以下格式：repo-ghsa-xxxx-xxxx-xxxx，其中：
- repo 是存储库的名称。为了保持存储库名称不超过 100 个字符的限制，我们将原始存储库的名称截断为 80 个字符。
- xxxx-xxxx-xxxx 是安全公告草稿的唯一标识符：
  - x 是以下集中的字母或数字：23456789cfghjmpqrvwx。
  - 数字和字母是随机分配的。
  - 所有字母和数字均为小写。

例如，如果在名为 octocat-repo 的存储库中创建一个临时专用分支，并且为草稿公告自动生成的 ID 为 GHSA-x854-cvjg-vx26，则临时分支名为 octocat-repo-ghsa-x854-cvjg-vx26。

还可以使用 REST API 创建临时专用分支。有关详细信息，请参阅 REST API 文档中的创建临时专用分支。

将协作者添加到临时私有复刻

对安全通告具有管理员权限的任何人都可以向安全通告添加其他协作者，而安全通告的协作者可以访问临时私有复刻。有关详细信息，请参阅“将协作者添加到存储库安全通告”。

将更改添加到临时私有复刻

任何对安全公告有写入权限的人都可以通过向临时私有分支添加更改来协作处理修补程序。

在 GitHub 上，导航到存储库的主页面。
在存储库名称下，单击“ 安全性”。如果看不到“安全性”选项卡，请选择下拉菜单并单击“安全性” 。
在左侧边栏中的“报告”下，单击“ 公告”。
在“安全公告”列表中，单击要处理的安全公告的名称。
可以在 GitHub 上或在本地添加更改：
- 若要对 GitHub 进行更改，请在“协作处理修补程序”下单击“临时私有分支”。然后，创建新分支并编辑文件。有关详细信息，请参阅创建和删除仓库中的分支和编辑文件。
- 要在本地添加更改，请按照“克隆并创建新分支”和“进行更改，然后推送”下的说明进行操作。

从临时私有复刻创建拉取请求

任何对安全通告有写入权限的人都可以从临时私有复刻创建拉取请求。

在 GitHub 上，导航到存储库的主页面。
在存储库名称下，单击“ 安全性”。如果看不到“安全性”选项卡，请选择下拉菜单并单击“安全性” 。
在左侧边栏中的“报告”下，单击“ 公告”。
在“安全公告”列表中，单击要在其中创建拉取请求的安全公告的名称。
滚动到公告窗体底部。然后，在“协作处理修补程序”下，单击“比较和拉取请求“，为关联的分支创建拉取请求。

“打开拉取请求”包括一个标头，其中显示了在创建拉取请求时将在三点 Git 差异比较中比较的分支。有关详细信息，请参阅“关于比较拉取请求中的分支”。
要创建可供审查的拉取请求，请单击“创建拉取请求”。若要创建草稿拉取请求，请使用下拉列表并选择“创建草稿拉取请求”，然后单击“草稿拉取请求” 。如果你是组织的成员，则可能需要从组织所有者请求对草稿拉取请求的访问权限。请参阅“关于拉取请求”。