如何让dependabot仅触发安全更新

Question

我正在使用 GitHub Dependabot.yml，版本 2。

version: 2
updates:
  # Nuget Packages
  - package-ecosystem: "nuget"
    directory: "/"
    schedule:
      interval: "monthly"

我试图弄清楚是否有可能将它配置为仅当它们包含安全修复程序时才会更新依赖项，因为它可以为版本 1 完成

version: 1
update_configs:
 - package_manager: "dotnet:nuget"
   directory: "/"
   update_schedule: "monthly"
   allowed_updates:
     - match:
       update_type: "security"

让我知道您是否遇到了同样的问题以及您是如何解决的。

谢谢

Answer 1

根据 GitHub 支持，您可以将打开的拉取请求数设置为 0 dependabot.yml：

open-pull-requests-limit: 0

这意味着它只会创建安全更新。

Answer 2

是的，我遇到了同样的问题，然后我发现了类似这个github 社区线程的内容。

\n

\n

我记得在哪里看到过这个。当使用市场上的原始 dependentabot 时，一种配置选项是仅执行安全更新。我从我的一个存储库中得到了这一组。原始dependabot 中现在有一个选项，可以使用原始dependabot 中配置的设置生成dependabot.yml 配置文件（以帮助过渡到使用dependabot.yml）。当我对仅启用安全更新的存储库执行此操作时，我收到以下消息：

\n

\n

\n

您\xe2\x80\x99 正在使用不受支持的功能\n此存储库配置为仅扫描安全更新。不支持使用新配置文件配置安全更新。您可以从存储库安全设置第 18 页启用 Dependabot 安全更新。

\n

\n

听起来在dependabot v2中，他们已经将安全更新分离到UI配置中，这和GitHub操作秘密一样糟糕。但看起来您不再需要 dependentabot 来配置依赖项的安全补丁。

\n

让我知道这是否有帮助。

\n