APRENDER. PRATICAR. EVOLUIR.Conceito e mecanismo
O dependency graph combina informação de manifests, lockfiles e submissões. Uma versão resolvida apenas durante o build pode não aparecer por análise estática. Um snapshot associado ao commit acrescenta dependências efetivas, com origem e momento de deteção. O SBOM exportado representa esse inventário e ajuda a relacionar packages, versões e licenças; não certifica ausência de vulnerabilidades nem completude do artifact sem reconciliação. Dependabot alerts informa problemas conhecidos. Security updates propõe correções motivadas por vulnerabilidades, enquanto version updates mantém dependências atualizadas segundo a configuração. Uma PR criada automaticamente continua a exigir revisão, testes e uma decisão de entrega adequada ao serviço.
Aplicação guiada
Numa release fictícia de reporting, compara o inventário do candidato com as dependências realmente resolvidas no CI. Usa dependency review para avaliar alterações antes do merge e confirma que o check relevante é obrigatório na política aplicável. Um check vermelho sem enforcement pode não impedir integração. Na triagem, EPSS exprime probabilidade estimada de exploração em trinta dias; o percentil indica posição relativa, não probabilidade de compromisso da tua aplicação. Combina esse sinal com exposição e impacto. Auto-triage pode reabrir alertas quando muda o contexto, como uma dependência passar a runtime. Agrupar updates reduz administração de PRs, mas aumenta o conjunto de alterações que precisa de validação conjunta.
Dependência ausente no SBOM, presente no artifact: corrigir o inventário antes de declarar a release não afetada.
Armadilhas comuns
SBOM como garantia; alerta como PR; bot como aprovação; percentil como probabilidade; group como compatibilidade.
Tópicos relacionados: Produtos, âmbito e prevenção · Credenciais, resposta e exceções · CodeQL, cobertura e resultados SARIF
Liga inventário, alteração, risco e candidato entregue através de referências verificáveis.
Referência: Dependency detection methods · GH-500 skills measured July2026;study guide updated2026-05-14