配置Dependabot/Renovate：咨询与SCA工具关联的漏洞修复规则

Dependabot的修复逻辑 #

Dependabot不会直接读取BlackDuck的漏洞检测结果，它的修复动作完全基于自身维护的漏洞数据库（比如GitHub Advisory Database）。如果BlackDuck检出的漏洞恰好存在于Dependabot的数据库中，它会自动生成修复PR；但如果BlackDuck发现的漏洞未被Dependabot收录，它不会主动处理这类漏洞。

Renovate的修复逻辑 #

Renovate同样不与BlackDuck做直接数据对接，它的漏洞修复依赖内置的多源漏洞数据（包括GitHub Advisory、OSV等）。对于BlackDuck识别的漏洞，只有当该漏洞也被Renovate的数据源覆盖时，它才会推送依赖更新PR。另外，Renovate支持自定义配置，你可以设置让它优先处理有漏洞的依赖，但前提是这些漏洞在它的数据源中有记录。

是否仅修复BlackDuck识别的漏洞？ #

不是。Dependabot和Renovate都会主动扫描自身数据源中的漏洞并推送修复，不管这些漏洞有没有被BlackDuck检测到。反过来，BlackDuck检测到但未被它们数据源收录的漏洞，这两个工具不会提供修复支持。

内容的提问来源于stack exchange，提问作者Sumit