Prioritize Dependabot alerts with reachability analysis - GitHub Changelog

Dependabot alerts can add up faster than a team can work through them. A vulnerable package in your dependency tree doesn’t always mean your code uses the vulnerable part of it, so knowing whether it does gives you more context when deciding where to start. Reachability analysis for Dependabot, now in public preview for JavaScript and TypeScript, adds that context to your alerts. It looks for call

[nguyen-oi]

依存ライブラリの脆弱性警告が多すぎて麻痺してたから実際に踏むか判定してくれるのは助かる

[Kesin]

Dpendabotのアラートに対してそれが本当に到達する可能性があるコードなのかを検査する機能がpublic preview。例えば到達しないと判断された脆弱性は優先度下げる判断に使える。previewの間は無料でGHASも不要、js/tsのみサポート

[mkusaka]

Dependabotの到達可能性分析がJavaScript／TypeScriptの脆弱関数への呼び出し経路を調べ、4段階の判定でアラート対応の優先順位付けを支援します。