依存関係グラフでパッケージ エコシステムをサポート

依存関係グラフについて

依存関係グラフは、リポジトリに格納されているマニフェストおよびロック ファイル、および 依存関係送信 API を使用してリポジトリに送信された依存関係の概要です。 それぞれのリポジトリについて、以下が表示されます:

• リポジトリが依存している依存関係、エコシステム、パッケージ
• 依存、依存するリポジトリ、パッケージ

依存関係ごとに、ライセンス情報と 脆弱性の重大度を確認できます。 検索バーを使用して、特定の依存関係を検索することもできます。 依存関係は、脆弱性の重大度によって自動的に並べ替えられます。

詳しくは、「依存関係グラフについて」を参照してください。

この記事では、サポートされているエコシステムについて説明します。

サポートされているパッケージエコシステム

推奨されるフォーマットでは、直接および間接の依存関係すべてに使用されるバージョンを明示的に定義しています。 これらの形式を使う場合、依存関係グラフはより正確になります。 これは、現在のビルドのセットアップも反映し、依存関係グラフが直接および間接の依存関係の両方で脆弱性を報告できるようにしてくれます。マニフェスト ファイル (あるいはそれに相当するもの) から推定される間接的な依存関係は、セキュリティで保護されていない依存関係のチェックから除外されます。

パッケージ マネージャー	言語	推奨される形式	サポートされているすべての形式
Cargo	Rust	Cargo.lock	Cargo.toml、Cargo.lock
Composer	PHP	composer.lock	composer.json、 composer.lock
NuGet	.NET 言語 (C#、F#、VB)、C++	.csproj、.vbproj、.nuspec、.vcxproj、.fsproj	.csproj、.vbproj、.nuspec、.vcxproj、.fsproj、packages.config
GitHub Actionsのワークフロー	YAML	.yml、.yaml	.yml、 .yaml
Go モジュール	Go	go.mod	go.mod
Maven	Java、Scala	pom.xml	pom.xml
npm	JavaScript	package-lock.json	package-lock.json、 package.json
pip	Python	requirements.txt、pipfile.lock	requirements.txt、pipfile、pipfile.lock, setup.py
pnpm	JavaScript	pnpm-lock.yaml	package.json, pnpm-lock.yaml
pub	Dart	pubspec.lock	pubspec.yaml、 pubspec.lock
Python Poetry	Python	poetry.lock	poetry.lock、pyproject.toml
RubyGems	Ruby	Gemfile.lock	Gemfile.lock、Gemfile、*.gemspec
Swift パッケージ マネージャー	Swift	Package.resolved	Package.resolved
Yarn	JavaScript	yarn.lock	package.json、yarn.lock

ビルド時に推移的な依存関係を解決するエコシステムでは、依存関係の送信を構成して、これらの依存関係を依存関係グラフに自動的に送信することをおすすめします。 詳しくは、「リポジトリの依存関係の自動送信の構成」を参照してください。

依存関係の送信アクションによってサポートされるパッケージ エコシステム

依存関係送信 API を使用して、たとえそのエコシステムが上記のサポート対象エコシステム リストに含まれていない場合でも、ビルド時の依存関係を依存関係グラフに追加したり、任意のパッケージ マネージャーまたはエコシステムから選んだ依存関係を依存関係グラフに追加できます。 これらの送信された依存関係からの依存関係情報は、順番に、Dependabot updates と Dependabot alerts に送られます。

依存関係送信 API を使用してプロジェクトに送信された依存関係には、提出に使用された検出機能と、いつ送信されたかが表示されます。 依存関係送信 API の詳細については、「Dependency Submission API を使用する」を参照してください。

プロジェクトのビルド時にプロジェクトの依存関係を送信するには、通常、GitHub Actions ワークフローで 依存関係送信 API を使います。 依存関係送信 API を使う最も簡単な方法は、依存関係のリストを収集して必要なスナップショット形式に変換したものを API に送信するアクションを事前に作成し、それをリポジトリに追加することです。 現在使用可能なアクションへのリンクを次の表に示します。

エコシステム	アクション
Go	Go の依存関係送信
Gradle	Gradle の依存関係送信
Maven	Maven 依存関係ツリーの依存関係送信
製粉	Mill の依存関係送信
Scala	Sbt の依存関係送信
NuGet とその他	コンポーネント検出の依存関係の送信アクション

たとえば、次の Go 依存関係送信ワークフローは、Go ビルド ターゲット (main 関数を含む Go ファイル) の依存関係を計算し、そのリストを 依存関係送信 API に送信します。

name: Go Dependency Submission
on:
  push:
    branches:
      - main

# The API requires write permission on the repository to submit dependencies
permissions:
  contents: write

# Environment variables to configure Go and Go modules. Customize as necessary
env:
  GOPROXY: '' # A Go Proxy server to be used
  GOPRIVATE: '' # A list of modules are considered private and not requested from GOPROXY
jobs:
  go-action-detection:
    runs-on: ubuntu-latest
    steps:
      - name: 'Checkout Repository'
        uses: actions/checkout@v4

      - uses: actions/setup-go@v5
        with:
          go-version: ">=1.18.0"

      - name: Run snapshot action
        uses: actions/go-dependency-submission@v1
        with:
            # Required: Define the repo path to the go.mod file used by the
            # build target
            go-mod-path: go-example/go.mod
            #
            # Optional. Define the repo path of a build target,
            # a file with a `main()` function.
            # If undefined, this action will collect all dependencies
            # used by all build targets for the module. This may
            # include Go dependencies used by tests and tooling.
            go-build-target: go-example/cmd/octocat.go

独自のアクションの作成もできます。 詳しくは、「Dependency Submission API を使用する」を参照してください。