El uso de colecciones de código escritas previamente en el proyecto, denominadas bibliotecas o paquetes, es habitual. Estos módulos de código te ahorran muchísimo tiempo, lo que te permite centrarte en los nuevos aspectos creativos del trabajo en lugar de codificar componentes reutilizables de gran tamaño desde cero. Cuando se agregan al proyecto, se denominan dependencias, ya que el trabajo depende del código que contienen.
Aunque el uso de dependencias es perfectamente normal, las dependencias pueden contener vulnerabilidades de código, lo que a su vez haría que el proyecto no fuera seguro. Afortunadamente, herramientas como Dependabot pueden encontrar vulnerabilidades de dependencia, generar solicitudes de incorporación de cambios para corregirlas e incluso evitar que se produzcan en el futuro. En este tutorial, aprenderá a habilitar y usar Dependabot y sus características para proteger las dependencias.
Configuración del repositorio de demostración
Empecemos bifurcando un proyecto de demostración con algunas vulnerabilidades de dependencia. Dado que no implementaremos el proyecto, no hay ningún riesgo de seguridad en este ejercicio.