リポジトリの依存関係を調べる

依存関係グラフの表示

依存関係グラフには、リポジトリの依存関係と依存物が表示されます。依存関係ごとに、バージョン、ライセンス情報、それを含むマニフェストファイル、既知の脆弱性があるかどうかを確認できます。推移的な依存関係をサポートするパッケージエコシステムの場合、リレーションシップの状態が表示され、[] をクリックしてから [Show paths] をクリックすると、その依存関係の基になっている推移パスを確認できます。

検索バーを使用して、特定の依存関係を検索することもできます。依存関係は、脆弱なパッケージが先頭になるように自動的に並べ替えられます。依存関係の検出とサポートされるエコシステムについては、「依存関係グラフがサポートされるパッケージエコシステム」を参照してください。

GitHub で、リポジトリのメインページに移動します。
リポジトリ名の下にある [ Insights] をクリックします。
左側のサイドバーで、 [Dependency graph] (依存関係グラフ) をクリックします。
必要に応じて、検索バーを使って、特定の依存関係または一連の依存関係を検索します。キーワード ecosystem: を使用して特定の種類のパッケージのみを表示したり、relationship: を使用して直接の依存関係や推移的な依存関係 (エコシステムが推移性をサポートしている場合) のみを表示したりすることができます。検索バーに平易な単語を入力すると、パッケージ名のみが一致します。

依存関係ビュー

依存関係ごとに、そのエコシステム、依存関係が見つかったマニフェストファイル、そのライセンス (検出された場合) を確認できます。

プライベートリポジトリ、プライベートパッケージ、認識できないファイルの依存関係は、プレーンテキストで表示されます。
依存関係のパッケージマネージャーがパブリックリポジトリにある場合は、依存関係名をポイントして、関連付けられているリポジトリ情報を含むポップアップを表示できます。
検索バーにフィルターを key:value ペアとして入力することで、依存関係を並べ替えたりフィルター処理したりすることができます。
- 選択したエコシステムの依存関係を表示するには、ecosystem: <ecosystem-name> を使用します。
- relationship: を使用して、リレーションシップの状態で一覧をフィルター処理します。有効な値は direct、transitive、inconclusive です。または、依存関係名の横にあるリレーションシップラベルをクリックして、リレーションシップの状態が同じ依存関係のみを表示することもできます。このフィルターは、推移的な依存関係をサポートするエコシステムでのみ使用できます。詳細については、「依存関係グラフがサポートされるパッケージエコシステム」を参照してください。

依存関係送信 API を使用してプロジェクトに送信された依存関係には、送信に使用された検出機能と送信日時が表示されます。依存関係送信 API の使用方法の詳細については、「依存関係サブミッション API を使用する」を参照してください。

リポジトリで脆弱性が検出された場合、それらはDependabot alertsにアクセスできるユーザに、ビューの上部で表示されます。

詳細については、次を参照してください。

        [AUTOTITLE](/code-security/supply-chain-security/understanding-your-software-supply-chain/troubleshooting-the-dependency-graph)

        [AUTOTITLE](/code-security/supply-chain-security/understanding-your-software-supply-chain/about-the-dependency-graph)

        [AUTOTITLE](/code-security/dependabot/dependabot-alerts/viewing-and-updating-dependabot-alerts)

        [AUTOTITLE](/organizations/collaborating-with-groups-in-organizations/viewing-insights-for-dependencies-in-your-organization)

この機能を使用できるユーザーについて

この記事の内容

依存関係グラフの表示

依存関係ビュー

詳細については、次を参照してください。