GHSA 编号是什么
GHSA 是 GitHub 安全公告库（GitHub Advisory Database）使用的编号，形如 GHSA-xxxx-xxxx-xxxx。它覆盖 npm、PyPI、Maven、NuGet、Go、RubyGems 等主流开源生态，条目通常包含受影响版本区间与已修复版本，可以直接指导依赖升级。相比通用漏洞库，GHSA 在开源组件上的覆盖更及时：不少开源问题先在 GHSA 出现，随后才同步到统一编号体系中，因此排查依赖问题时它是一个高效的起点。
基本信息
| 提供方 | GitHub Advisory Database |
|---|---|
| 编号格式 | GHSA-四位-四位-四位（字母数字混合） |
| 覆盖范围 | 主流开源包管理器的依赖漏洞 |
| 与 CVE 关系 | 多数条目带统一编号映射，个别条目仅有 GHSA 编号 |
典型使用场景
- 排查依赖问题的第一步：按包名检索，比按编号检索更容易命中
- 为仓库开启依赖告警，自动发现锁文件中引入的受影响版本
- 给开发团队下发整改单时附上受影响区间与建议版本，减少沟通成本
- 与依赖审计工具的输出交叉验证，补齐工具未覆盖的生态
- 评估新引入第三方库前先检索其公告历史，判断维护活跃度
查询入口
查询入口
公告库首页：https://github.com/advisories
按编号反查：https://github.com/advisories?query=CVE-2021-44228
按包名检索：https://github.com/advisories?query=package-name
依赖告警：仓库 Security 页签 -> Dependabot alerts
# 条目中关注：受影响版本区间、已修复版本、严重性级别字段读法
| 字段 | 含义 | 使用注意 |
|---|---|---|
| 受影响版本 | 存在问题的版本区间 | 注意区间表达式，避免只看主版本 |
| 已修复版本 | 包含修复的首个版本 | 升级目标版本的最低要求 |
| 严重性 | 公告给出的评级 | 与统一编号体系的评分可能不一致 |
| 关联编号 | 对应的统一漏洞编号 | 个别条目可能尚未建立映射 |
排查开源依赖问题时，GHSA 与 OSV 这类数据源可以互补使用：覆盖的生态与更新时间各有侧重，交叉验证能减少漏报。
依赖告警只在开启后才会出现：仓库未开启告警时，即使锁文件中引入了受影响版本也不会有任何提示。