程序员经验分享-hwhale

GitHub 供应链安全已支持 Dart 开发者生态

2023-10-29

通过 Dart 和 GitHub 团队的共同努力，自 10 月 7 日起，GitHub 的 Advisory Database (安全咨询数据库)、Dependency Graph (依赖项关系图) 和 Dependabot (依赖更新机器人) 开始支持 Dart 开发者生态，这也意味着 GitHub 为 Dart 和 Flutter 应用的供应链安全提供了全面支持:

  • GitHub 的 Advisory Database (安全咨询数据库) 为漏洞报告者和项目维护者之间提供了一个协作平台，漏洞报告者和项目维护者可以共同合作，在漏洞被公开之前私密讨论并修复漏洞。
  • Dependency Graph (依赖项关系图) 主要是分析 Dart / Flutter 项目的 pubspec.yaml 和 pubspec.lock 文件来确定项目依赖关系。
  • Dependabot 是 GitHub 收购并免费开放的一个检测依赖项安全性的工具，一旦你依赖的 Dart package 版本发现新漏洞时，Dependabot 就可以发出通知并自动创建拉取请求 (Pull Request)，将 package 版本升级到没有漏洞的版本。查看过往推文: Dependabot 开始支持 pub package 版本检测 了解更多。

Dart 产品经理 Michael Thomsen 表示：通过与 GitHub 团队的合作，Dart 开发者们可以在新的漏洞影响到客户之前发现和解决问题；GitHub 的高级产品经理 Courtney Claessens 也提到说，在供应链安全侧全面支持 Dart，不仅是对开源社区、开发者的支持，更能够帮助数百万使用 Dart 应用的用户们。

Dependabot 会检测 package 的更新并创建拉取请求以请求更新到最新版本

Dependency Graph (依赖项关系图) 会展示出项目所依赖的其他 package

发布 package 到 pub.dev 的安全最佳实践

作为 package 开发者或维护者，当你将 package 发布到 pub.dev 的时候，这里有两条最佳实践的建议:

  1. 使用 GitHub 的安全公告功能在你的代码仓库中创建新的安全公告，GitHub 会将这个纳入其 Advisory Database (安全咨询数据库) 中。
  2. 为你的 GitHub 代码仓库配置安全策略，详细说明用户可以用什么样的方式报告安全问题。

为发布到 pub.dev 上的 package 创建安全公告 (Ecosystem 选择 Pub)

上述提到的这些安全策略和功能均已面向所有用户发布 (私有仓库也只需要加入一点的额外配置)，快去试试吧，保护自己的代码安全，刻不容缓。

延伸阅读

本文内容由网友自发贡献，版权归原作者所有，本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容，请联系:hwhale#tublm.com(使用前将#替换为@)

flutter

GitHub

GitHub 供应链安全已支持 Dart 开发者生态 的相关文章

随机推荐

  • 【排序】快速排序

    思路分析 快速排序采用双向查找的策略 每一趟选择当前所有子序列中的一个关键字作为枢纽轴 将子序列中比枢纽轴小的前移 比枢纽轴大的后移 当本趟所有子序列都被枢轴按上述规则划分完毕后将会得到新的一组更短的子序列 他们将成为下趟划分的初始序列集

  • WARN:Establishing SSL connection without server’s identity verification is not recommended

    在JAVA WEB项目中做到C3P0数据库连接池部分运行Java代码时候出现一大片红色报错警告 Establishing SSL connection without server s identity verification is no

  • 【概率论与数理统计】猴博士 笔记 p24-25 条件概率密度函数、求两个随机变量形成的函数的分布

    条件概率密度函数 题型如下 已知概率密度 求条件概率密度 已知x怎么样的情况下y服从的概率 或y怎么样的情况下x服从的概率 求f x y 步骤 对于后两个 是在哪个字母的条件下 哪个字母就在后面 即 如果是在x 的条件下 那么就选图中第三条

  • LeetCode 283. 移动零（C++）

    1 题目如下 给定一个数组 nums 编写一个函数将所有 0 移动到数组的末尾 同时保持非零元素的相对顺序 请注意 必须在不复制数组的情况下原地对数组进行操作 示例 1 这里是引用 输入 nums 0 1 0 3 12 输出 1 3 12

  • mac生成linux下可执行的.go二进制文件

    在项目的根目录下使用下面命令 env GOOS linux GOARCH amd64 go build o 指定文件名 main go

  • elasticsearch 后置过滤器(Post Filter)

    本章翻译自Elasticsearch官方指南的Filtering Queries and Aggregations一章 过滤查询以及聚合 A natural extension to aggregation scoping is filte

  • AC-DC--------单相可控整流电路

    带电阻负载的工作情况 原理图 波形图 在分析整流电路工作时 认为晶闸管 开关器件 为理想器件 即晶闸管导通时其管压降等于零 晶闸管阻断时其漏电流等于零 除非特意研究晶闸管的开通 关断过程 一般认为晶闸管的开通与关断过程瞬时完成 工作原理 改

  • 基本流程图与跨职能流程图

    流程可以用流程图来表示 但它们有一个缺点 标准流程图无法表明谁负责这些活动 流程可以用流程图来表示 但它们有一个缺点 标准流程图无法表明谁负责这些活动 因此 跨职能流程图 或称为泳道图 泳道流程图 跨职能流程图 通过定义谁做什么来使流程更加

  • Ajax中get请求和post请求的区别

    Ajax中请求方式有get和post两种 二者的区别可以从传参方式 请求头以及参数类型来进行比较 post请求 get请求 区别 1 传参方式 get请求在url的尾部传递参数 而post请求在send方法中传递参数 2 请求头 post请

  • java解析邮件并下载附件

    package com testspring mailserver mail parsemail import com sun mail pop3 POP3Folder import org springframework web bind

  • 配置EPEL 源

    EPEL Extra Packages for Enterprise Linux 是由 Fedora Special Interest Group 为企业 Linux 创建 维护和管理的一个高质量附加包集合 适用于但不仅限于 Red Hat

  • Spring Boot中禁用Jackson的科学计数法的序列化与反序列化

    application properties spring jackson deserialization USE BIG DECIMAL FOR FLOATS true spring jackson serialization WRITE

  • (40)[ICCV15] Fast R-CNN

    计划完成深度学习入门的126篇论文第四十篇 微软的Ross Girshick研究的Obeject Detection的模型 github Abstract 提出了一种基于区域卷积网络的快速目标检测方法 Fast R CNN Fast R C

  • ChatGPT在编程方面的用例：节省时间并提高工作效率

    除非您一直住在树林里的小屋里 远离电网 否则您可能听说过ChatGPT AI 聊天机器人于 2022 年 11 月发布并引起了不小的轰动 这引出了一个问题 这项激动人心的新技术究竟能为您 您的企业和您的行业做什么 ChatGPT 在各个领域

  • 山洪灾害监测预警系统解决方案

    一 方案背景 山洪灾害是指山丘地区由降雨引起的洪水 泥石流和滑坡灾害 近年来 我国突发性 局部性极端强降雨引发的山洪灾害导致大量人员伤亡 占洪涝灾害死亡总人数的比例趋上升趋势 群死群伤事件时有发生 山洪灾害严重制约山区和丘陵地区经济发展 人

  • webpack

    一 背景 随着前端的项目逐渐扩大 必然会带来的一个问题就是性能 尤其在大型复杂的项目中 前端业务可能因为一个小小的数据依赖 导致整个页面卡顿甚至奔溃 一般项目在完成后 会通过webpack进行打包 利用webpack对前端项目性能优化是一个

  • Spring源码深度解析：三、容器的刷新 - refresh()

    一 前言 文章目录 Spring源码深度解析 文章目录 我们先通过Spring源码的整体流程 来了解Spring的工作流程是什么 接着根据这个工作流程一步一步的阅读源码 二 Spring容器的启动 public class Test pub

  • QT页面旋转涉及源码修改

    QT页面旋转涉及源码修改 qlinuxfbscreen cpp qlinuxfbscreen h qt页面旋转 在源码中直接搜索这两个文件名称 直接替换内容即可 qlinuxfbscreen cpp Copyright C 2016 The

  • Mongo进阶--存储原理

    存储引擎 Storage wiredTiger引擎 3 0新增引擎 官方宣称在read insert和复杂的update下具有更高的性能 所以后续版本 我们建议使用wiredTiger 所有的write请求都基于 文档级别 的lock 因此

  • GitHub 供应链安全已支持 Dart 开发者生态

    通过 Dart 和 GitHub 团队的共同努力 自 10 月 7 日起 GitHub 的 Advisory Database 安全咨询数据库 Dependency Graph 依赖项关系图 和 Dependabot 依赖更新机器人 开始支

热门标签