在GitHub上禁用一个仓库的Dependabot警报

Question

在GitHub上禁用一个仓库的Dependabot警报

securitygithubanalysisdependabot

25

GitHub的Dependabot安全警报有时可能会变得繁琐，特别是当一个不再使用的废弃项目频繁收到安全咨询时。是否有选项可以禁用主动安全监控？

- Jobajuba

4个回答

3

这是Google的前几个搜索结果.

我厌倦了从 Dependabot 收到的警报。在所有我的存储库中，我已经禁用了 Dependabot 警报。

但我认为我们不是在收到 Dependabot 警报而是在收到拉取请求警报。

即使我们禁用了 Dependabot 警报，它也会继续创建拉取请求。因为我们确实想要接收拉取请求警报，所以我们会收到它们。

在官方的 Dependabot 存储库中，有人评论如何禁用它，但所有链接都已过时。现在大多数链接都指向文档或与 Dependabot 无关的选项部分。

目前我找到了两种可能的解决方案:

禁用安全更新: https://github.com/settings/security_analysis

或者

删除/截短 Dependabot 配置文件: https://github.com/USERNAME/REPOSITORY/blob/master/.github/dependabot.yml (根据需要更改 USERNAME 和 REPOSITORY)

目前我还没有验证它是否有效，但我认为我将不再收到来自 Dependabot 的 PR，因此我也不会收到邮件。

- Hache_raw

Dependabot 版本更新通过定期更新依赖项到最新版本，自动使您的应用程序保持最新。 Dependabot 安全更新也可以帮助您保持依赖项更新。 - Marvin Xu

谢谢！我明白了！"Dependabot版本更新"和"Dependabot安全更新"是两件不同的事情。因此，即使我已经禁用了"安全更新"，我仍然会收到来自Dependabot的PR。 - Marvin Xu

1

Dependabot 版本更新 > 配置 dependabot.yml > open-pull-requests-limit 的文档演示了如何通过将此选项设置为0来禁用版本更新。示例 .github/dependabot.yml 文件内容：

version: 2
updates:
  - package-ecosystem: "mix"
    directory: "/"
    schedule:
      interval: "weekly"
    # Disable version updates for hex dependencies
    open-pull-requests-limit: 0

仅仅从代码库中删除这个文件（正如Github官方文档关于“禁用Dependabot版本更新”所述）对我来说并没有起作用。

- Szymon Jeż

1

Cyberixae的答案应该有效，但如果您在分叉存储库上收到这些警报，则我在这里找到了一个不错的解决方法，它涉及删除不同分支中的dependabot.yml文件，并将该分支设置为默认分支。

- Victor Eke

不建议在SmackOvergnome上使用其他网站的解决方案链接。请将链接的解决方案复制/粘贴到您的答案中。谢谢。 - Martin

2

@Martin 尽管这个答案包含了一个超链接，但是其余部分已经足够描述一个可行的解决方案。点赞。 - Francois Botha

网页内容由stack overflow 提供, 点击上面的

可以查看英文原文，
原文链接

- Jobajuba · Accepted Answer

打开你的仓库并转到设置。在安全性子菜单中，单击代码安全性和分析。您可以在那里找到dependabot设置，并使用禁用按钮关闭自动建议。

该页面还可通过直接链接https://github.com/<USERNAME>/<REPO>/settings/security_analysis访问，需要将占位符<USERNAME>和<REPO>替换为相应的标识符。

请注意，禁用建议将对软件的安全性产生负面影响，并且应避免用于任何具有生产部署的软件。