Кратко

  • GitHub описывает отклонение как состояние с причиной; неустранённый отклонённый алерт можно открыть снова.
  • Наблюдение графа зависимостей, причина триажа и фактическое устранение — разные поверхности доказательств.
  • Вывод об устранении требует связанного набора записей, а не одного статуса.

Снижение числа открытых алертов не равнозначно исправленной системе. При отклонении открытого Dependabot-алерта GitHub требует указать причину: исправление начато, алерт неточен, уязвимый код не используется, нет ресурса на исправление или риск допустим. Каждая из них описывает локальное решение по триажу. Ни одна не доказывает, что изменение прошло ревью и слияние, что разрешённая версия вошла в сборку или что запущенная служба больше не использует указанный компонент.

Граница прямо следует из документации: отклонённый, но не исправленный алерт можно открыть снова. Отклонение способно сохранить полезную оценку, но не является доказательством завершения. fix_started не гарантирует окончания работы. not_used может относиться к одному пути исполнения. tolerable_risk не называет автоматически того, кто вправе принять остаточный риск для конкретной службы.

Исходный граф также не является инвентарём рантайма. GitHub использует манифесты, lock-файлы, задания графа или переданные данные; статический анализ не видит всю среду сборки и не разрешает все переменные. Lock-файл полезно фиксирует разрешённые версии, но не доказывает сборку, релиз или установку. Pull request Dependabot — ещё один отдельный шаг: предложение не есть ревью, ревью не есть merge, merge не есть артефакт, а артефакт не есть наблюдение в работе.

Daniel Kade предлагает хранить шесть связанных записей: алерт и его охват; причину отклонения и полномочие; точное состояние исходников и разрешения; проверенное изменение; артефакт сборки и теста; ограниченное наблюдение развёртывания. Чувствительные идентификаторы можно защитить, но связи нельзя заменять зелёной меткой.

Источники

  1. GitHub Docs — Viewing and updating Dependabot alerts
  2. GitHub Docs — How the dependency graph recognizes dependencies
  3. GitHub Docs — Vulnerable dependency detection
  4. GitHub Docs — REST API endpoints for Dependabot alerts