添加 dependabot.yml
文件是获得 GitHub Dependabot 更新的必要条件吗?还是仅仅是改变默认值的附加选项?
添加 dependabot.yml
文件是获得 GitHub Dependabot 更新的必要条件吗?还是仅仅是改变默认值的附加选项?
从技术上讲,dependabot.yml
文件不是必需的 - 如果您在GitHub项目设置/安全性中开启dependabot,它就会开始工作。我开启了https://github.com/coreinfrastructure/best-practices-badge而没有使用YAML文件,这也起作用。
然而,如果没有dependabot.yml
文件,对于其他人来说并不明显 dependabot 正在使用,这是个问题。例如,OpenSSF scorecard 会查找 dependabot.yml
文件以确定您的项目是否正在使用 dependabot 来保持更新。确保依赖项最新是很重要的,但让潜在用户知道您正在保持更新也同样重要。因此,为了完全透明,最好在源代码存储库中发布配置文件。
这也会给您更多的控制。
version: 2
updates:
- package-ecosystem: "github-actions"
directory: "/"
schedule:
# Check for updates to GitHub Actions every weekday
interval: "daily"