GitHub Dependabot 可达性分析怎样改变风险排序

Dependabot 发现依赖漏洞后，真正棘手的往往不是“有没有告警”，而是“先修哪一条”。GitHub 在 2026 年 10 月 28 日公布的可达性分析，把应用代码是否能沿调用路径抵达易受影响函数，补充为告警排序信号。它目前是 GitHub Enterprise Cloud 上 JavaScript/TypeScript 的 public preview：Reachable 和 Potentially reachable 通常应先处理，Unreachable 可以降低优先级，但不能直接当成安全结论。

官方公告：https://github.blog/changelog/2026-10-28-prioritize-dependabot-alerts-with-reachability-analysis/

这次更新把“有漏洞”拆成了四种处置信号

以前看到一条 Dependabot alert，常见做法是先看严重度和是否有补丁。现在分析会使用 CodeQL 构建代码与依赖的调用图，并根据 GitHub Advisory Database 中整理的易受影响函数寻找路径。每条开放告警会得到一个 verdict，部分 Reachable 告警还会展示调用路径证据。

这里有一个容易忽略的顺序：Reachability unavailable 不是“不可达”，而是“没有足够证据”。因此不能把所有灰色结果批量降级；它只表示这次分析没有完成或不在支持范围内。

先看可达性，再把严重度放回上下文

可达性改变的是排序依据，不是把原来的风险模型换掉。一个生产依赖上的中危漏洞，如果存在明确调用路径，可能比开发依赖中的高危但不可达代码更值得先进入修复队列；反过来，也不能只看 Reachable 标签就跳过 EPSS、漏洞严重度、补丁可用性和业务暴露面。

在告警列表中，可以先使用默认的 sort:most-important，再用 reachability:reachable,potentially-reachable 聚焦需要人工确认的条目；生产排查时还要区分 scope:development 与运行时依赖。调用路径只回答“代码能否走到该函数”，不回答攻击者是否能控制输入、是否满足利用前置条件。

开启后要怎么落地

可达性分析默认关闭。仓库管理员可以在单仓库的 Settings > Advanced Security 中开启，也可以通过组织或企业的自定义安全配置批量启用；Dependabot alerts 本身必须已经开启。当前预览不要求 GitHub Code Security 许可证，也不另外计 GitHub Actions 分钟，但分析使用 GitHub-hosted runner，暂不支持 self-hosted runner。

1. 先确认仓库属于 GitHub Enterprise Cloud，并使用 JavaScript 或 TypeScript。
2. 确认项目有 npm、pnpm 或 Yarn 锁文件，例如 package-lock.json、pnpm-lock.yaml。
3. 开启分析后等待首次扫描；小仓库可能几分钟完成，大仓库可能需要更久。
4. 在告警页按 verdict、严重度、EPSS、依赖范围和补丁状态组合分诊，再把路径证据交给负责修复的人。

扫描会在存在开放告警期间每天重新运行，但代码 push 不会立即触发新扫描；大型 monorepo 或多目录 manifest 可能遇到资源限制，预览期还有三小时的扫描上限。启用后若代码刚发生变化，先把 verdict 当作最近一次完成扫描的结果，等下一轮再复查。

四个容易误判的边界

• Reachable 不等于 exploitability：它证明存在调用路径，不证明攻击者能把可控数据送进漏洞路径。
• Unreachable 不等于安全：代码、依赖版本或 advisory 改变后，结果可能变化，不能仅据此关闭告警。
• 路径样本不是全量路径：页面最多展示五条样例路径，应结合代码和运行入口继续判断。
• 支持范围有限：预览重点覆盖带锁文件的 JavaScript/TypeScript 依赖；Go、Java、Python 等其他生态不能据此推断已经获得同样能力。

常见问题

可达性分析会自动关闭 Dependabot 告警吗？

不会。它给现有开放告警增加 verdict 和部分调用路径证据，关闭、修复和忽略仍由团队按流程决定。

Reachable 结果是不是就代表漏洞一定能被利用？

不是。Reachable 只表示应用代码存在到易受影响函数的路径，还要继续确认输入可控性、部署位置和漏洞利用条件。

Go 项目现在能直接使用这项预览吗？

公告和文档列出的预览范围是 JavaScript/TypeScript 及 npm、pnpm、Yarn 锁文件。Go 项目仍应使用现有 Dependabot、代码扫描和人工分诊信号，不能把本次能力外推到 Go。

官方原理与限制说明可查看：https://docs.github.com/en/code-security/concepts/supply-chain-security/about-reachability-analysis-for-dependabot-alerts。对依赖风险排序来说，这次更新的价值不是替人做决定，而是把“应用是否真的走到漏洞函数”这条证据放到了告警列表旁边。