{"meta":{"title":"配置 Dependabot 安全更新","intro":"可以使用 Dependabot security updates 或手动拉取请求轻松更新易受攻击的依赖项。","product":"安全性和代码质量","breadcrumbs":[{"href":"/zh/code-security","title":"安全性和代码质量"},{"href":"/zh/code-security/how-tos","title":"How-tos"},{"href":"/zh/code-security/how-tos/secure-your-supply-chain","title":"保护供应链"},{"href":"/zh/code-security/how-tos/secure-your-supply-chain/secure-your-dependencies","title":"保护依赖项"},{"href":"/zh/code-security/how-tos/secure-your-supply-chain/secure-your-dependencies/configuring-dependabot-security-updates","title":"配置安全更新"}],"documentType":"article"},"body":"# 配置 Dependabot 安全更新\n\n可以使用 Dependabot security updates 或手动拉取请求轻松更新易受攻击的依赖项。\n\n\n\n## 管理 Dependabot security updates 存储库\n\n可以启用或禁用 Dependabot security updates 个人帐户或组织拥有的所有符合条件的存储库。 有关详细信息，请参阅“[管理安全和分析功能](/zh/account-and-profile/setting-up-and-managing-your-personal-account-on-github/managing-personal-account-settings/managing-security-and-analysis-settings-for-your-personal-account)”或“[管理组织的安全和分析设置](/zh/organizations/keeping-your-organization-secure/managing-security-settings-for-your-organization/managing-security-and-analysis-settings-for-your-organization)”。\n\n还可以为单个存储库启用或禁用 Dependabot security updates 。\n\n### 为 Dependabot security updates 单个存储库启用或禁用\n\n1. 在 GitHub 上，导航到存储库的主页面。\n2. 在仓库名称下，单击 “Settings”\\*\\*\\*\\*。 如果看不到“设置”选项卡，请选择“”下拉菜单，然后单击“设置”。\n\n \n3. 在边栏的“Security”部分中，单击“ Advanced Security”\\*\\*\\*\\*。\n4. 在“安全更新”Dependabot 右侧，单击“ **启用** ”以启用该功能或 **禁用** 该功能。\n 对于公共存储库，如果始终启用该功能，则会禁用该按钮。\n\n## 将Dependabot security updates组成为单个拉取请求\n\n若要使用分组的安全更新，你必须先启用以下功能：\n\n* **依赖项关系图**。 有关详细信息，请参阅“[启用依赖项关系图](/zh/code-security/supply-chain-security/understanding-your-software-supply-chain/configuring-the-dependency-graph)”。\n\n***\n\n```\n Dependabot alerts\n **。 有关详细信息，请参阅“[AUTOTITLE](/code-security/dependabot/dependabot-alerts/configuring-dependabot-alerts)”。\n```\n\n***\n\n```\n Dependabot security updates\n **。 有关详细信息，请参阅“[AUTOTITLE](/code-security/dependabot/dependabot-security-updates/configuring-dependabot-security-updates)”。\n```\n\n> \\[!NOTE]\n> 首次启用分组安全更新后， Dependabot 将立即尝试创建分组拉取请求。 你可能会注意到 Dependabot 关闭旧的拉取请求并打开新请求。\n\n可以通过以下一种或两种方式为 Dependabot security updates 启用分组拉取请求。\n\n* 若要跨目录和按生态系统将尽可能多的可用安全更新分组在一起，请在仓库的“Advanced Security”设置中，或在组织的“ Advanced Security”下的“Global settings”中启用分组。\n* 如需更精细地控制分组（例如按包名称、开发/生产依赖项、SemVer 级别或每个生态系统的多个目录进行分组），请在仓库中的 `dependabot.yml` 配置文件中添加配置选项。\n\n> \\[!NOTE]\n> 如果已在 `dependabot.yml` 文件中为 Dependabot security updates 配置了组规则，则所有可用更新都将根据指定的规则进行分组。 如果还启用了组织或存储库级别的分组安全更新设置，则 Dependabot 只会跨那些未在 `dependabot.yml` 中配置的目录进行分组。\n\n### 为单个存储库启用或禁用Dependabot security updates分组\n\n1. 在 GitHub 上，导航到存储库的主页面。\n2. 在仓库名称下，单击 “Settings”\\*\\*\\*\\*。 如果看不到“设置”选项卡，请选择“”下拉菜单，然后单击“设置”。\n\n \n3. 在边栏的“Security”部分中，单击“ Advanced Security”\\*\\*\\*\\*。\n4.\n\n```\n Dependabot\n```\n\n```\n 在“分组安全更新”右侧的“启用”下，单击“**启用**”以启用该功能或**禁用**该功能。\n```\n\n### 为组织启用或禁用“分组”Dependabot security updates\n\n```\n 可以启用分组 Dependabot security updates 到单个拉取请求中。 有关详细信息，请参阅“[AUTOTITLE](/code-security/securing-your-organization/enabling-security-features-in-your-organization/configuring-global-security-settings-for-your-organization#grouping-dependabot-security-updates)”。\n```\n\n## 使用配置文件重写默认行为\n\n可以通过将`dependabot.yml`文件添加到存储库来替代Dependabot security updates的默认行为。\n`dependabot.yml`文件可以更精细地控制分组，并覆盖Dependabot security updates设置的默认行为。\n\n将 `groups` 选项与 `applies-to: security-updates` 按键结合使用，以创建（每个包管理器的）依赖项集，从而使 Dependabot 能够打开单个拉取请求以同时更新多个依赖项。 可以按包名称（`patterns` 和 `exclude-patterns` 密钥）、依赖项类型（`dependency-type` 密钥）和 SemVer（`update-types` 密钥）来定义组。\n\nDependabot 按组在 `dependabot.yml` 文件中出现的顺序创建组。 如果依赖项更新可以属于多个组，则只会将它分配给与之匹配的第一个组。\n\n如果只需要\\_安全\\_更新并且想要排除\\_版本\\_更新，可以将 `open-pull-requests-limit` 设置为 `0`，以防止给定 `package-ecosystem` 的版本更新。\n\n有关可用于安全更新的配置选项的详细信息，请参阅 [自定义 Dependabot 安全更新的拉取请求](/zh/code-security/dependabot/dependabot-security-updates/customizing-dependabot-security-prs)。\n\n```yaml copy\n# Example configuration file that:\n# - Has a private registry\n# - Ignores lodash dependency\n# - Disables version-updates\n# - Defines a group by package name, for security updates for golang dependencies\n\nversion: 2\nregistries:\n example:\n type: npm-registry\n url: https://example.com\n token: ${{secrets.NPM_TOKEN}}\nupdates:\n - package-ecosystem: \"npm\"\n directory: \"/src/npm-project\"\n schedule:\n interval: \"daily\"\n # For Lodash, ignore all updates\n ignore:\n - dependency-name: \"lodash\"\n # Disable version updates for npm dependencies\n open-pull-requests-limit: 0\n registries:\n - example\n - package-ecosystem: \"gomod\"\n directories:\n - \"**/*\"\n schedule:\n interval: \"weekly\"\n open-pull-requests-limit: 0\n groups:\n golang:\n applies-to: security-updates\n patterns:\n - \"golang.org*\"\n```\n\n> \\[!NOTE]\n> 为了让 Dependabot 使用此配置进行安全更新，`directory` 必须是清单文件的路径，或者 `directories` 必须包含与清单文件位置相匹配的路径或 glob 模式，并且不应指定 `target-branch`。\n\n## 延伸阅读\n\n* [关于 Dependabot 警报](/zh/code-security/dependabot/dependabot-alerts/about-dependabot-alerts)\n* [配置 Dependabot 警报](/zh/code-security/dependabot/dependabot-alerts/configuring-dependabot-alerts)\n* [依赖项关系图支持的包生态系统](/zh/code-security/supply-chain-security/understanding-your-software-supply-chain/dependency-graph-supported-package-ecosystems#supported-package-ecosystems)"}