Сведения об Dependabot version updates
Dependabot берет на себя работу по поддержке ваших зависимостей. Используйте его, чтобы обеспечить автоматическую синхронизацию репозитория с последними выпусками пакетов и приложений, от которых он зависит.
Когда Dependabot вызывает запросы на вытягивание, такие запросы могут быть предназначены для обновлений безопасности или версий:
- Dependabot security updates — это автоматизированные запросы на вытягивание, позволяющие обновлять зависимости с известными уязвимостями.
- Dependabot version updates — это автоматизированные запросы на вытягивание, позволяющие поддерживать зависимости в актуальном состоянии, даже если у них нет уязвимостей. Чтобы проверить состояние обновлений версий, перейдите на вкладку "Аналитика " репозитория, а затем выберите Граф зависимостей и Dependabot.
Вы включите Dependabot version updates путем dependabot.yml проверки файла конфигурации в репозитории.
Dependabot и все связанные функции охватываются лицензионным соглашением. Дополнительные сведения см. в разделе GitHub Условия клиента Enterprise.
Обновления пакетов
Конфигурационный dependabot.yml файл указывает местоположение манифеста или других файлов определения пакета, хранящихся в вашем репозитории. Dependabot использует эти сведения для проверки устаревших пакетов и приложений. Dependabot определяет наличие новой версии зависимости, анализируя семантическое версионирование (semver) зависимости, чтобы решить, нужно ли обновлять зависимость до этой версии. Сведения о поддерживаемых репозиториях и экосистемах см. в разделе Поддерживаемые экосистемы и репозитории Dependabot.
Файл также можно настроить так, чтобы он указывал dependabot.yml Dependabot, как поддерживать зависимости. Дополнительные сведения см. в разделе О файле dependabot.yml.
В некоторых диспетчерах пакетов Dependabot version updates также поддерживает поставщиков. Зависимости от поставщиков (или кэшированные зависимости) — это зависимости, которые записываются в определенный репозиторий вместо указания в манифесте. Зависимости от поставщиков доступны во время сборки, даже если серверы пакетов недоступны. Dependabot version updates можно настроить для проверки зависимостей от поставщиков на наличие новых версий и их обновления при необходимости.
Если Dependabot идентифицирует устаревшую зависимость, он создает запрос на вытягивание для обновления манифеста до последней версии зависимости. Для зависимостей от поставщиков Dependabot создает запрос на вытягивание, чтобы напрямую заменить устаревшую зависимость новой версией. Проверьте, что тесты пройдены, просмотрите журнал изменений и заметки о выпуске, включенные в сводку запроса на вытягивание, а затем объедините запрос на вытягивание. Дополнительные сведения см. в разделе Настройка обновлений версий Dependabot.
При включении обновлений системы безопасности Dependabot также создает запросы на вытягивание для обновления уязвимых зависимостей. Дополнительные сведения см. в разделе Сведения об обновлениях для системы безопасности Dependabot.
Обновления действий
Действия часто обновляются с помощью исправлений ошибок и новых компонентов, чтобы сделать автоматизированные процессы более надежными, быстрыми и безопасными. Если включить Dependabot version updates для GitHub Actions, Dependabot поможет обеспечить актуальность ссылок на действия в файле workflow.yml репозитория __ и повторно используемых рабочих процессах внутри рабочих процессов.
Для каждого действия в файле Dependabot проверяет ссылку на действие (обычно номер версии или идентификатор фиксации, связанный с действием) на соответствие последней версии. Если доступна более поздняя версия действия, Dependabot отправит запрос на вытягивание, который обновляет ссылку в файле рабочего процесса до последней версии.
Dependabot также проверяет файлы рабочих процессов на предмет использования повторно используемых рабочих процессов и обновляет ссылку Git для этих называемых повторно используемых рабочих процессов.
Чтобы включить эту функцию, см. Поддержка актуальности действий с помощью Dependabot.
О автоматической деактивации Dependabot updates
Когда поддержка репозитория перестает взаимодействовать с запросами на вытягивание Dependabot, Dependabot временно приостанавливает обновления и позволяет узнать, см . раздел AUTOTITLE.
Сведения об уведомлениях для обновлений версий Dependabot
Вы можете отфильтровать уведомления по GitHub для отображения уведомлений о запросах на вытягивание, созданных Dependabot. Дополнительные сведения см. в разделе Управление уведомлениями из папки "Входящие".