gitHub增加Dependabot自动化安全PR

GitHub 宣布增加一些新的特性，旨在帮助开发者保护其代码，包括能够针对需要为包含安全补丁而更新的依赖创建 PR，支持与 WhiteSource 数据集成，以增强漏洞评估和增进对依赖关系的理解。

GitHub 安全相关的特性基于的是漏洞报警，这些特性是在 2017 年推出的，其目的是在项目的依赖关系中发现任何漏洞时，及时向开发人员报警。根据 GitHub 自己提供的数据，尽管自那时起，其已提供了超过 2700 百万次安全报警，但是打补丁的过程经常仍然缓慢：

虽然安全漏洞报警给用户提供了信息来保护其项目，行业数据显示，超过 70% 的漏洞在被发现 30 天后仍然没有打补丁，甚至有些 1 年后都还没打补丁。

GitHub 的数据与其他厂商的分析结果高度一致，这些分析均列出了开源社区要想改进其安全实践需要采取的行动。

为了让项目维护人员更快和更便捷地给代码打补丁，GitHub 前不久刚刚收购了 Dependabot，并且宣布 Dependabot 免费。Dependabot 原先是 GitHub 集市上的一款付费服务，它能够扫描项目的依赖关系，发现其中的所有漏洞，并且自动为每一个漏洞创建 PR。这样一来，维护人员通过简单地合并这些 PR，就能够修补安全漏洞。

另外，为了帮助企业项目维护人员及时地审核项目的依赖关系和任何漏洞的暴露程度，GitHub 还推出了依赖关系洞察的特性。依赖关系洞察采用 GitHub 依赖关系图表，向开发者展示项目依赖关系状态的概况，包括公开安全公告、列出并检查项目的依赖关系，等等。

另外一个新特性是 GitHub 安全报警与开源安全平台 WhiteSource 的集成，这样做的目的在于为开发者提供更多有关已发现漏洞的数据。GitHub 称，该特性将扩大目前平台能够检测到的潜在漏洞的范围，并帮助开发者挑出更危险的漏洞，然后修补和上报这些漏洞。

最后一点，为了改善项目维护人员交换信息和讨论任何已发行的漏洞时的沟通，GitHub 现在还推出了一个名为维护人员安全通告的私人工作空间，以改善维护人员之间的交流，防止将敏感信息不慎泄露给黑客。另外，现在 GitHub 也支持显性设置与某个项目相关的安全策略，因此代码贡献人员能够知道他们怎样做是一种负责任地上报漏洞方式。