Dependabot 现已支持检测 pub 包的版本更新吗？

本文共计1083个文字，预计阅读时间需要5分钟。

今年年初，我们发布了Flutter 2022产品路线图，其中基础建设部分提出：2022年Flutter团队将增强对应用链路的 安全投入，目标是达到符合SLSA 4级别描述的要求。

今年年初，我们发布了 Flutter 2022 产品路线图，其中「基础设施建设」这部分提到：2022 年 Flutter 团队将增加对供应链的安全的投入，目的是达到符合基础设施 SLSA 4 级别中描述的要求。

供应链安全

大多数开源项目依赖了数百个开源依赖项^[1]，随着更多开源项目被更广泛地使用，这些依赖项给其使用者们带来了安全隐患：如果我们使用的开源项目的依赖项受到攻击和破坏该怎么办？这将让你的直接用户 (软件的最终使用者) 蒙受供应链攻击带来的风险。

供应链攻击是一种新兴的、针对软件开发者和供应商的安全威胁^[2]，攻击者会通过寻找不安全的网络协议、不受保护的服务器以及不安全的代码等安全漏洞并更改代码，导致使用它的程序在构建和更新的过程中被加入隐藏的恶意代码。

为了确保依赖项供应链的安全性，开发者们需要确保所有依赖项和工具定期更新到最新稳定版本，因为这些新的版本通常会包含最新功能和已知漏洞的安全修补程序。依赖项包括依赖的代码、使用的二进制文件、使用的工具以及其他组件等^[3]。在 GitHub 上托管的开源代码可以使用 GitHub 提供的代码扫描功能来查找项目中的安全漏洞和错误，并使用 Dependabot 维护项目的依赖项，以确保项目自动更新到依赖项的最新版本。