Editing Vulnerability scanning tools (section)

=== GitHub Dependabot ===
[https://docs.github.com/en/code-security/concepts/supply-chain-security/dependabot-alerts GitHub Dependabot] 檢查專案相依套件是否有已知安全漏洞，並可自動建立更新用的 Pull Request（PR，合併請求）。主要檢查第三方套件，並非分析自行撰寫的程式碼是否有 SQL Injection、XSS 等漏洞。
* 公司/維護者: GitHub
* 執行方式: GitHub 整合服務，不需在本機安裝掃描軟體。
* 授權與費用: GitHub Dependabot 建立 PR 後，若觸發另外設定的測試、建置等 Actions 工作流程，仍依一般 Actions 規則計算用量。公開儲存庫使用標準 GitHub-hosted runner 執行 Actions 免費；larger runner 另行計費。詳細費率請參考 [https://docs.github.com/en/billing/concepts/product-billing/github-actions GitHub Actions 計費說明]。
* 掃描對象: 支援的套件生態系中，已被相依性圖譜辨識的套件與版本。
* 檢測結果: 已知漏洞警示、嚴重程度、受影響套件與修補版本等資訊。
* 自動更新: 安全更新會嘗試建立修補漏洞的 PR；版本更新則依 dependabot.yml 的設定，定期建立套件更新 PR。
* 使用限制: 受支援的套件生態系、相依套件辨識能力與已知漏洞資料所限制，無法保證找出所有漏洞。
* 帳號需求: 需要 GitHub 帳號，以及儲存庫的相應管理權限。