llm-wiki/raw/official-docs/github-dependency-review-action.md

---
title: "GitHub Docs — About dependency review"
source_type: official-doc
url: https://docs.github.com/en/code-security/supply-chain-security/understanding-your-software-supply-chain/about-dependency-review
archive_url:
related_branches: [feature-dependency-vulnerability-management-contract]
related_projects: []
tags: [official-doc, security, ci-cd]
created: 2026-06-15
---

# GitHub Docs — About dependency review

> Layer: `raw/` — 외부 자료(공식 문서 / 대기업 기술 블로그)의 **원문 발췌·출처 기록**.
> 검증된 요약은 `/ingest` 후 `wiki/concepts/`에 `source-summary-template` 형식으로 별도 작성. 원본은 raw에 영구 보관.

## Parent / 활용 branch (필수)

| Branch | 이 자료가 정당화하는 결정 |
|---|---|
| [[raw/branch-notes/feature-dependency-vulnerability-management-contract]] | GitHub dependency-review-action을 PR-time 보완 게이트로 채택 — 신규 도입 취약 의존성 차단. 단독 릴리즈 게이트로는 부적합(PR diff 전용). |

## 출처 / Source

- 원본 URL: https://docs.github.com/en/code-security/supply-chain-security/understanding-your-software-supply-chain/about-dependency-review
- 아카이브 URL:
- 저자 / 조직: GitHub (github.com)
- 발행일: (확인 불가, 공식 문서 상시 갱신)
- 마지막 확인일: 2026-06-15

## 왜 저장했는지 / Why archived

GitHub 공식 문서에서 dependency-review-action의 작동 범위(PR diff 전용, 신규 도입 의존성만 검사)와 기본 동작(취약 패키지 발견 시 check 실패 + merge 차단)을 verbatim으로 확보하기 위해. `feature-dependency-vulnerability-management-contract` 브랜치가 채택 근거로 요구하는 핵심 사실을 공식 출처에서 직접 획득.

## 핵심 인용 / Key quotes (verbatim, 3~5문장)

> [§About dependency review] "Dependency review lets you catch insecure dependencies before you introduce them to your environment, and provides information on license, dependents, and age of dependencies."

> [§About the dependency review action] "The action scans for vulnerable versions of dependencies introduced by package version changes in pull requests, and warns you about the associated security vulnerabilities. This gives you better visibility of what's changing in a pull request, and helps prevent vulnerabilities being added to your repository."

> [§About the dependency review action] "By default, the dependency review action check will fail if it discovers any vulnerable packages. A failed check blocks a pull request from being merged when the repository owner requires the dependency review check to pass."

> [§About the dependency review action] "You can configure the dependency review action to better suit your needs. For example, you can specify the severity level that will make the action fail, or set an allow or deny list for licenses to scan."

> [§About the dependency review action] "The action uses the dependency review REST API to get the diff of dependency changes between the base commit and head commit."

## Claims Extracted / 추출된 주장

| Claim ID | Claim (이 자료가 직접 말하는 것) | Evidence quote | Strength | Applies to | Does not prove |
|---|---|---|---|---|---|
| C1 | dependency-review-action은 PR에서 **신규 도입**된 취약 버전 의존성을 검사한다 — 기존 의존성 전수 스캔이 아님 | [§About the dependency review action] "The action scans for vulnerable versions of dependencies introduced by package version changes in pull requests" | `official-vendor-doc` | GitHub Actions를 사용하는 모든 repository | 릴리즈 브랜치·main 브랜치 기존 의존성의 취약성 전수 검사를 보장하지 않음 |
| C2 | 기본값으로 취약 패키지 발견 시 check가 fail하고, required check 설정 시 PR merge를 차단한다 | [§About the dependency review action] "By default, the dependency review action check will fail if it discovers any vulnerable packages. A failed check blocks a pull request from being merged when the repository owner requires the dependency review check to pass." | `official-vendor-doc` | dependency review check를 required check로 등록한 repository | required check 미등록 시 merge 차단 효과 없음 |
| C3 | `fail-on-severity` 등 설정으로 fail 트리거 심각도 수준을 커스터마이즈할 수 있다 | [§About the dependency review action] "You can configure the dependency review action to better suit your needs. For example, you can specify the severity level that will make the action fail" | `official-vendor-doc` | dependency-review-action을 직접 구성하는 경우 | 정확한 옵션명·파라미터는 이 페이지가 아닌 action 공식 설정 페이지에서 확인 필요 |
| C4 | dependency review는 PR의 base commit과 head commit 사이의 의존성 diff를 기반으로 동작한다 | [§About the dependency review action] "The action uses the dependency review REST API to get the diff of dependency changes between the base commit and head commit." | `official-vendor-doc` | PR 단위 검사 흐름 | 특정 커밋 또는 태그 기준 전체 의존성 스냅샷 스캔을 의미하지 않음 |
| C5 | dependency review의 목적은 프로젝트에 취약성이 **도입되기 전에** 잡는 것이다 — Dependabot alerts(이미 존재하는 취약성)와 보완적 관계 | [§About dependency review] "Dependency review lets you catch insecure dependencies before you introduce them to your environment" | `official-vendor-doc` | PR-gate 보안 전략 | Dependabot alerts를 대체하지 않음; 이미 main에 존재하는 취약 의존성은 이 action으로 검출 불가 |
| C6 | dependency-review-action은 **라이선스 allow/deny 목록**을 설정해 PR 도입 의존성의 라이선스를 스캔·차단할 수 있다 (severity gate 와 동일 config) | [§About the dependency review action] "You can configure the dependency review action to better suit your needs. For example, you can specify the severity level that will make the action fail, or set an allow or deny list for licenses to scan." | `official-vendor-doc` | PR-time license/NOTICE compliance 게이트 | 정확한 옵션명(`allow-licenses`/`deny-licenses`)·SPDX 표기는 action 공식 설정 페이지에서 확인 필요 |

## Usage Boundaries / 적용 경계

- 이 자료가 직접 증명하는 것:
  - `C1`: dependency-review-action은 PR diff(신규 도입 의존성)만 검사한다는 사실
  - `C2`: required check 등록 시 취약 패키지 발견으로 PR merge를 차단하는 기본 동작
  - `C3`: severity 수준 커스터마이즈 가능성
  - `C4`: base↔head commit diff 기반 동작 메커니즘
  - `C5`: Dependabot alerts(기존 취약성)와 상호 보완적이라는 설계 의도
  - `C6`: 라이선스 allow/deny 목록 설정으로 PR 도입 의존성 라이선스를 스캔·차단 가능 (license/NOTICE 게이트)
- 이 자료가 증명하지 않는 것:
  - `fail-on-severity`의 정확한 파라미터 값 목록 — 이 페이지는 개념 페이지이며, 구성 세부사항은 action 설정 페이지 참조 필요
  - Private repository 외의 GitHub Advanced Security 라이선스 요구 정책 세부사항
  - Organization-level ruleset으로 강제하는 구체적 절차
- 내 프로젝트에 적용하려면 추가 확인이 필요한 것:
  - ca-tmpl / 대상 프로젝트의 GitHub Actions workflow에 action 실제 설치 여부
  - required check 등록이 branch protection rule 또는 ruleset 중 어느 쪽에서 설정되는지
  - `fail-on-severity` 옵션의 허용값 범위 (별도 action 문서 페이지 확인 필요)

## 메모 / Notes

- 이 페이지("about-dependency-review")는 개념 설명 페이지. `fail-on-severity` 옵션은 언급만 되고 값·형식은 명시되지 않음. 구성 세부사항은 `https://docs.github.com/en/code-security/supply-chain-security/understanding-your-software-supply-chain/configuring-the-dependency-review-action` 참조 필요 (별도 raw source 등록 권장).
- Dependabot alerts(기존 의존성 취약성 스캔)와 dependency review(PR 신규 도입 차단)는 설계상 보완 관계. 두 도구를 동시에 운영해야 완전한 커버리지.
- Organization 수준 rollout은 repository ruleset으로 required workflow 설정하는 방식.

## Related / 관련

- 추가 확인 필요 (별도 raw source 등록 권장): `https://docs.github.com/en/code-security/supply-chain-security/understanding-your-software-supply-chain/configuring-the-dependency-review-action`
- 같은 주제 이 자료를 인용한 wiki 요약: `[[wiki/concepts/dependency-review-pr-gate]]` (생성 시)