依赖扫描
Tier: 旗舰版
Offering: JihuLab.com，私有化部署
依赖扫描可识别项目依赖中已知的安全漏洞，包括运行时、开发以及传递（嵌套）软件包。极狐GitLab 提供多种依赖扫描方法，每种方法适用于不同的工作流。请使用下面的摘要选择适合您项目的方法。
可用的扫描方法
使用 SBOM 的依赖扫描
将依赖扫描分析器在您的流水线中生成的 CycloneDX SBOM 产物与 GitLab 安全公告数据库和 GitLab 恶意软件公告进行比对扫描。这是新项目的推荐方法，也是极狐GitLab 中依赖扫描的长期方向。
有关详情，请参阅使用 SBOM 的依赖扫描。
持续依赖扫描
每当 GitLab 安全公告数据库或 GitLab 恶意软件公告更新时，持续重新扫描默认分支最近一次成功流水线中的 SBOM 组件，因此新披露的漏洞无需重新运行流水线即可显现。
有关详情，请参阅持续依赖扫描。
使用 Gemnasium 的依赖扫描
最初的基于流水线的分析器，在 CI/CD 作业中检测依赖并将其与 GitLab 安全公告数据库进行匹配。
有关详情，请参阅旧版依赖扫描页面。
分析依赖的行为（Libbehave）
一项实验，分析依赖的运行时行为，以发现已知漏洞之外的可疑或恶意活动。
有关详情，请参阅分析依赖的行为。
扫描方法比较
| 方法 | 状态 | 触发方式 | 最适合 |
|---|---|---|---|
| 使用 SBOM 的依赖扫描 | 正式发布 | 流水线 | 新项目、以 SBOM 为先的工作流 |
| 持续依赖扫描 | 正式发布 | 安全公告数据库更新 | 无需重新运行流水线即可捕获新披露的漏洞 |
| 使用 Gemnasium 的依赖扫描 | 已弃用（17.9） | 流水线 | 等待迁移的现有项目 |
| 分析依赖的行为 | 实验 | 流水线 | 检测恶意软件包行为 |
AI 原生功能
Agentic 破坏性变更解决
当升级依赖的合并请求出现失败的流水线时，极狐GitLab Duo 可以分析失败原因并提供修复方案。
更多信息，请参阅 Agentic 破坏性变更解决（用于依赖升级）。