# Справочник по параметрам зависимостей
Подробная информация обо всех опциях, которые можно использовать для настройки способов Dependabot обслуживания ваших репозиториев.
В этой статье приведена справочная информация по параметрам конфигурации, доступным в `dependabot.yml` файле. Используйте эти параметры, чтобы настраивать мониторинг Dependabot упаковки экосистем, планировать обновления и создавать pull requests. Для обзора `dependabot.yml` файла и его работы смотрите [О файле dependabot.yml](/ru/code-security/concepts/supply-chain-security/about-the-dependabot-yml-file).
Все опции, отмеченные иконкой, также меняют способ Dependabot создания pull-запросов на обновления безопасности, за исключением случаев, где `target-branch` это используется.
### Обязательные ключи
| Key | Местоположение | Цель |
| ------------------------------------------------------------ | -------------------------------------- | ----------------------------------------------------------------------------------------------------------------------- |
| `version` | Верхний уровень | |
| Dependabot Использовать синтаксис конфигурации. Всегда: `2`. | | |
| `updates` | Верхний уровень | Раздел, в котором определяется каждый `package-ecosystem` из них для обновления. |
| [`package-ecosystem`](#package-ecosystem-) | в разделе `updates` | Определите диспетчер пакетов для обновления. |
| \[ | | |
| `directories` или `directory`]\(#directories-or-directory--) | Под каждой `package-ecosystem` записью | Определите расположение манифеста или других файлов определений для обновления. |
| [`schedule.interval`](#schedule-) | Под каждой `package-ecosystem` записью | Определите, искать ли обновления версий: `daily`, `weekly`, `monthly`, `quarterly``semiannually``yearly`, , или .`cron` |
Кроме того, можно включить ключ верхнего уровня `registries` для определения сведений о доступе для частных реестров, см`registries` верхнего уровня[](#top-level-registries-key)".
```yaml copy
# Basic `dependabot.yml` file with
# minimum configuration for two package managers
version: 2
updates:
# Enable version updates for npm
- package-ecosystem: "npm"
# Look for `package.json` and `lock` files in the `root` directory
directory: "/"
# Check the npm registry for updates every day (weekdays)
schedule:
interval: "daily"
# Enable version updates for Docker
- package-ecosystem: "docker"
# Look for a `Dockerfile` in the `root` directory
directory: "/"
# Check for updates once a week
schedule:
interval: "weekly"
```
Для реального примера `dependabot.yml` файла см. [Dependabotсобственный конфигурационный файл .](https://github.com/dependabot/dependabot-core/blob/main/.github/dependabot.yml)
## `allow`
Используется для определения точного определения зависимостей, которые следует поддерживать для экосистемы пакетов. Часто используется с параметром [`ignore`](#ignore--) . Примеры см. в разделе [Управление обновлениями зависимостей с помощью Dependabot](/ru/code-security/how-tos/secure-your-supply-chain/manage-your-dependency-security/controlling-dependencies-updated#allowing-specific-dependencies-to-be-updated).
Dependabot Поведение по умолчанию:
* Все зависимости, явно определённые в манифесте, поддерживаются в актуальном состоянии с помощью обновлений версий.
* Все зависимости, определённые в файлах блокировки с уязвимыми зависимостями, обновляются с помощью обновлений безопасности.
При `allow` задании Dependabot используется следующий процесс:
1. Проверьте наличие всех явно **разрешенных** зависимостей.
2. Затем отфильтруйте все **игнорируемые** зависимости или версии.
Если зависимость соответствует `allow` оператору и оператору`ignore`, он игнорируется\*\*\*\*.
| Параметры | Цель |
| ----------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `dependency-name` | Разрешить обновления зависимостей с соответствующими именами, при необходимости используя `*` для сопоставления ноль или более символов. |
| `dependency-type` | Разрешить обновления для зависимостей определенных типов. |
| | |
| `update-types` | Разрешить обновления одного или нескольких уровней семантического версионирования. Поддерживаемые значения: `version-update:semver-patch`, `version-update:semver-minor`и `version-update:semver-major`. |
| | |
### `dependency-name` (`allow`)
Для большинства диспетчеров пакетов необходимо определить значение, соответствующее имени зависимости, указанному в файле блокировки или манифеста. Некоторые системы имеют более сложные требования.
| Диспетчер пакетов | Обязательный формат | Example |
| ---------------------------- | ---------------------- | ------------------------------------------------------------------------------------------------------------------------------------------ |
| Gradle и Maven | `groupId:artifactId` | `org.kohsuke:github-api` |
| Docker для тегов изображений | Полное имя репозитория | Для тега `.dkr.ecr.us-west-2.amazonaws.com/base/foo/bar/ruby:3.1.0-focal-jemalloc`изображения используйте `base/foo/bar/ruby`. |
### `dependency-type` (`allow`)
| Типы зависимостей | Поддерживаемые диспетчерами пакетов | Разрешить обновления |
| ----------------------------------------------------------------------------- | -------------------------------------------------------------------------------------------------- | ----------------------------------------------------------------------------------------------------------------------------- |
| `direct` | All | Все явно определенные зависимости. |
| `indirect` | | |
| `bundler`, , `pip``composer``cargo``gomod`,`uv` | Зависимости прямых зависимостей (также известные как подзависимости или транзитивные зависимости). | |
| `all` | All | Все явно определенные зависимости. Для `bundler`, `pip`, `composer`, `cargo``gomod``uv`также зависимости прямых зависимостей. |
| `production` | | |
| `bundler`, `composer`, `mix`, `maven``npm`, `pip`, , ( `uv` не все менеджеры) | Только для зависимостей, определенных диспетчером пакетов в качестве рабочих зависимостей. | |
| `development` | | |
| `bundler`, `composer`, `mix`, `maven``npm`, `pip`, , ( `uv` не все менеджеры) | Только для зависимостей, определенных диспетчером пакетов в качестве зависимостей разработки. | |
### `update-types` (`allow`)
`update-types` Влияет только на *обновления версий* , а не *на обновления безопасности*.
Укажите, какие семантические версии (SemVer) разрешать.
SemVer является принятым стандартом для определения версий программных пакетов в форме `x.y.z`.
Dependabot предполагает, что версии в этой форме всегда `major.minor.patch`являются . Значение `update-types` представляет собой список одной или нескольких строк.
* Используйте `version-update:semver-patch` для разрешения релизов патчей.
* Используйте `version-update:semver-minor` для разрешения незначительных релизов.
* Используйте `version-update:semver-major` для разрешения крупных релизов.
Если `update-types` в правиле `allow` исключено, разрешены все типы обновлений для этого правила.
Вы можете объединять `update-types` с `dependency-name` разрешёнными обновлениями или `dependency-type` ещё больше сузить. Примеры того, как можно объединить эти опции, см. [Управление обновлениями зависимостей с помощью Dependabot](/ru/code-security/how-tos/secure-your-supply-chain/manage-your-dependency-security/controlling-dependencies-updated#allowing-specific-semantic-versioning-levels-for-updates).
## `assignees`
Укажите отдельные назначаемый объект для всех запросов на вытягивание, поднятых для экосистемы пакетов. Примеры см. в разделе [Настройка запросов на вытягивание зависимостей для соответствия вашим процессам](/ru/code-security/tutorials/secure-your-dependencies/customizing-dependabot-prs).
Dependabot Поведение по умолчанию:
* Запросы на вытягивание создаются без назначаемого пользователя.
При `assignees` определении:
* Все pull-запросы на обновления версий создаются с выбранными присваивателями.
* Все pull-запросы на обновления безопасности создаются с выбранными присваивателями, если `target-branch` только не определяется обновление для нестандартной ветки.
Назначаемы должны иметь доступ на запись в репозиторий. Для репозиториев, принадлежащих организации, члены организации с доступом на чтение также являются допустимыми назначаемыми.
## `commit-message`
Определите формат для сообщений фиксации. Так как заголовки запросов на вытягивание записываются на основе сообщений о фиксации, этот параметр также влияет на заголовки запросов на вытягивание. Примеры см. в разделе [Настройка запросов на вытягивание зависимостей для соответствия вашим процессам](/ru/code-security/tutorials/secure-your-dependencies/customizing-dependabot-prs).
Dependabot Поведение по умолчанию:
* Фиксация сообщений соответствует аналогичным шаблонам, обнаруженным в репозитории.
При `commit-message` определении:
* Все коммит-сообщения следуют определённому шаблону.
* Все коммит-сообщения следуют определённому шаблону, если только `target-branch` не обновляется в нестандартную ветку.
| Параметры | Цель |
| -------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------- |
| `prefix` | Определяет префикс для всех сообщений фиксации и заголовков запросов на вытягивание. |
| `prefix-development` | В поддерживаемых системах определяет другой префикс, используемый для фиксаций, которые обновляют зависимости в группе зависимостей разработки. |
| `include` | Следуйте префиксу сообщения фиксации с дополнительными сведениями. |
> \[!TIP]
> Когда запросы на вытягивание создаются для группированных обновлений, имя ветви и название запроса на вытягивание определяются группой`IDENTIFIER`, см. в разделе`groups`[](#groups--) .
### `prefix`
* Используется для всех сообщений фиксации, если `prefix-development` не определено.
* Значение может составлять до 50 символов.
* Dependabot вставляет двоеточие после префикса перед добавлением основного сообщения фиксации, когда значение заканчивается буквой, цифрой, закрывающей скобкой или заключительной скобкой.
* Завершите значение символом пробела, чтобы остановить добавление двоеточия.
### `prefix-development`
Поддерживается: `bundler`, `composer`, `mix`, `maven`, `npm``pip`, , и `uv`.
* Используется только для сообщений фиксации, обновляющих зависимости в группе зависимостей разработки.
* В противном случае параметр ведет себя точно так же, как `prefix` и параметр.
### `include`
* Поддерживает только значение `scope`
* При определении любого префикса следует тип зависимостей, обновленных в фиксации: `deps` или `deps-dev`.
## `cooldown`
**Определяет период** охлаждения для обновлений зависимостей, что позволяет отложить обновления в течение настраиваемого количества дней. Эта `cooldown` опция доступна только для обновлений *версий* , но не для *обновлений безопасности* .
Эта функция позволяет пользователям настраивать частоту Dependabot генерации обновлений новых версий, обеспечивая больший контроль над частотой обновлений. Примеры см. в разделе [Оптимизация создания запросов на вытягивание обновлений версий Dependabot](/ru/code-security/tutorials/secure-your-dependencies/optimizing-pr-creation-version-updates#setting-up-a-cooldown-period-for-dependency-updates).
Dependabot Поведение по умолчанию:
* Проверьте наличие обновлений в соответствии с расписанием, определенным через `schedule.interval`.
* Примените **период охлаждения по умолчанию в течение 3 дней** к обновлениям версий, даже если `cooldown` он не настроен. Новая версия не считается обновлением версии до 3 дней после его выпуска.
**Это обновление по умолчанию не применяется к обновлениям системы безопасности.**
Вы можете настроить `cooldown` эти периоды охлаждения по умолчанию и контролировать, к каким зависимостям они применяются. При **`cooldown`** определении:
1. Dependabot Проверяет наличие обновлений в соответствии с определёнными `schedule.interval` настройками.
2. Dependabot Проверяет настройки перезарядки.
3. Если новый релиз зависимости соответствует периоду восстановления, Dependabot пропускает обновление версии для этой зависимости.
4. Зависимости без периода охлаждения или тех, кто за прошлый период охлаждения, обновляются до последней версии в соответствии с настроенным `versioning-strategy` параметром.
5. После окончания перезарядки зависимости Dependabot обновляется по стандартной стратегии обновления, определённой в `dependabot.yml`.
### **Конфигурация `cooldown`**
Можно указать длительность охлаждения, используя приведенные ниже параметры.
| Параметр | Description |
| ----------------------------------------------------------------------------------------------------------------------------------------------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------- |
| `default-days` | |
| **Период охлаждения по умолчанию для зависимостей без определенных** правил (необязательно). Если не указано, Dependabot применяется прохлада по умолчанию 3 дня. | |
| `semver-major-days` | Период охлаждения для **обновлений** основных версий (необязательно, применяется только к диспетчерам пакетов, поддерживающим SemVer). |
| `semver-minor-days` | Период охлаждения для **дополнительных обновлений** версий (необязательно, применяется только к диспетчерам пакетов, поддерживающим SemVer). |
| `semver-patch-days` | Период охлаждения для **обновлений** версий исправлений (необязательно, применяется только к диспетчерам пакетов, поддерживающим SemVer). |
| `include` | Список зависимостей для **применения охлаждения** (до **150 элементов**). Поддерживает подстановочные знаки (`*`). |
| `exclude` | Список зависимостей, исключенных из прохладной очистки \*\*\*\* (до **150 элементов**). Поддерживает подстановочные знаки (`*`). |
В таблице ниже показаны менеджеры пакетов, поддерживающие `cooldown`. Эта `default-days` опция поддерживается для всех перечисленных менеджеров пакетов, в то время `semver-major-days`как , `semver-minor-days`, и `semver-patch-days` поддерживается только там, где указано.
| Диспетчер пакетов | Поддерживаемые дни по умолчанию | Поддерживаемые дни SemVer-bump |
| ------------------------------------- | :----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------: | :---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------: |
| | | |
| Базель | | |
| | | |
| Средство увязки программ в пакеты | | |
| Булочка | | |
| Груз | | |
| Composer | | |
| | | |
| Conda | | |
| | | |
| | | |
| Дено | | |
| | | |
| Devcontainers | | |
| Докер | | |
| Docker Compose | | |
| Dotnet SDK | | |
| Elm | | |
| GitHub Actions | | |
| Gitsubmodule | | |
| Gomod (Модули Go) | | |
| Gradle (Грэйдл) | | |
| Штурвал | | |
| Шестнадцатеричное (шестнадцатеричное) | | |
| | | |
| Julia | | |
| | | |
| Мейвен | | |
| | | |
| Никс-флейки | | |
| | | |
| NPM и Yarn | | |
| NuGet | | |
| | | |
| OpenTofu | | |
| | | |
| PIP | | |
| | | |
| До коммита | | |
| | | |
| Кабак | | |
| | | |
| Цепочка инструментов Rust | | |
| | | |
| | | |
| sbt | | |
| | | |
| Swift | | |
| Terraform | | |
| УЛЬТРАФИОЛЕТОВЫЙ | | |
| | | |
| vcpkg | | |
| | | |
> \[!NOTE]
>
> * Если `semver-major-days`, `semver-minor-days`или `semver-patch-days` не определены, `default-days` параметры будут иметь приоритет для обновлений на основе охлаждения.
> * Список `exclude` всегда имеет приоритет над списком `include` . Если зависимость указана в обоих списках, она **исключается из прохладной работы** и будет немедленно обновлена.
## `directories` или `directory`
**Обязательный параметр**. Используется для определения расположения манифестов пакета для каждого диспетчера пакетов (например, *package.json* или *Gemfile*). Без этой информации Dependabot нельзя создавать pull requests на обновления версий. Примеры см. в разделе ["Определение нескольких расположений для файлов](/ru/code-security/how-tos/secure-your-supply-chain/manage-your-dependency-security/controlling-dependencies-updated#defining-multiple-locations-for-manifest-files) манифеста".
* Используется `directory` для определения одного каталога манифестов.
* Используется `directories` для определения списка нескольких каталогов манифестов.
* Определите каталоги относительно корневого каталога репозитория для большинства диспетчеров пакетов.
* Для GitHub Actions, используйте значение `/`.
Dependabot будет искать в `/.github/workflows` каталоге, а также по `action.yml/action.yaml` файлу из корневой директории.
Если необходимо использовать несколько блоков в файле конфигурации для определения обновлений для одной целевой ветви экосистемы, необходимо убедиться, что все значения уникальны и не перекрываются в каталогах.
> \[!NOTE]
> Ключ `directories` поддерживает глоббинг и подстановочный знак `*`. Эти функции не поддерживаются ключом `directory` .
## `enable-beta-ecosystems`
В настоящее время не используется.
## `groups`
Определите правила для создания одного или нескольких наборов зависимостей, управляемых диспетчером пакетов, чтобы группировать обновления в меньшее количество целевых запросов на вытягивание. Примеры см. в разделе [Оптимизация создания запросов на вытягивание обновлений версий Dependabot](/ru/code-security/tutorials/secure-your-dependencies/optimizing-pr-creation-version-updates).
Dependabot Поведение по умолчанию:
* Откройте один запрос на вытягивание для каждой зависимости, которая должна быть обновлена до более новой версии для обновлений версий и обновлений системы безопасности.
Когда `groups` используется для определения правил:
* Все обновления зависимостей, которые соответствуют правилу, объединяются в одном запросе на вытягивание.
* Если зависимость соответствует нескольким правилам, она включена в первую группу, которая соответствует ей.
* Все устаревшие зависимости, которые не соответствуют правилу, обновляются в отдельных запросах на вытягивание.
| Параметры | Цель |
| ------------------ | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `IDENTIFIER` | Определите идентификатор группы для использования в именах ветвей и заголовках запросов на вытягивание. Это должно начинаться и заканчиваться буквами, а также содержать буквы, каналы `\|`, подчеркивания `_`или дефисы `-`. |
| `applies-to` | Укажите тип обновления, к которому применяется группа. Если не определено, по умолчанию обновляется версия. Поддерживаемые значения: `version-updates` или `security-updates`. |
| `dependency-type` | Ограничить группу типом. Поддерживаемые значения: `development` или `production`. |
| `exclude-patterns` | Определите один или несколько шаблонов, чтобы исключить зависимости из группы. |
| | |
| `group-by` | Групповые обновления в нескольких каталогах. Поддерживаемое значение: `dependency-name`. |
| | |
| `patterns` | Определите один или несколько шаблонов для включения зависимостей с соответствующими именами. |
| `update-types` | Ограничить группу одним или несколькими уровнями семантического управления версиями. Поддерживаемые значения: `minor`, `patch`и `major`. |
### `dependency-type` (`groups`)
Поддерживается: `bundler`, , `composer``mix`, `maven`, `npm`и `pip`.
По умолчанию группа будет включать все типы зависимостей.
* Используется `development` для включения только зависимостей в группу зависимостей разработки.
* Используется `production` для включения только зависимостей в рабочую группу зависимостей.
### `group-by` (`groups`)
Используйте `groups..group-by` для указания, как Dependabot групповые обновления должны быть в нескольких каталогах в монорепозитории.
* **Тип:** Струна
* **Принятые ценности:**`dependency-name`
* **Относится к:** Конфигурации с множеством указанных каталогов
При установке на `dependency-name`, Dependabot для каждого обновления зависимостей создаётся один пулл-запрос для всех указанных каталогов, а не отдельные pull requests для каждого каталога.
**Ограничения межкаталоговой группировки**
Применяя `group-by: dependency-name`, помните следующие правила.
* Все каталоги должны использовать одну и ту же экосистему пакетов (например, все `npm` или все `bundler`)
* **Применяется только к обновлениям версий**
* Если в каталогах есть несовместимые версионные ограничения для зависимости, Dependabot создаются отдельные pull requests
Для примеров использования `group-by`, см. [Оптимизация создания запросов на вытягивание обновлений версий Dependabot](/ru/code-security/tutorials/secure-your-dependencies/optimizing-pr-creation-version-updates#grouping-updates-across-directories-in-a-monorepo).
### `patterns` и `exclude-patterns` (`groups`)
Оба варианта поддерживают использование `*` в качестве подстановочной карточки для определения совпадений с именами зависимостей. Если зависимость совпадает как с шаблоном, так и с шаблоном исключения, она исключается из группы.
### `update-types` (`groups`)
По умолчанию группа будет включать обновления для всех семантических версий (SemVer). SemVer является принятым стандартом для определения версий программных пакетов в форме `x.y.z`. Dependabot предполагает, что версии в этой форме всегда `major.minor.patch`доступны.
* Используется `patch` для включения выпусков исправлений.
* Используется `minor` для включения дополнительных выпусков.
* Используется `major` для включения основных выпусков.
Примеры см. в разделе [Управление обновлениями зависимостей с помощью Dependabot](/ru/code-security/how-tos/secure-your-supply-chain/manage-your-dependency-security/controlling-dependencies-updated#specifying-the-semantic-versioning-level-to-ignore).
## `ignore`
Используйте параметр, [`allow`](#allow--) чтобы определить точно, какие зависимости следует поддерживать для экосистемы пакетов.
Dependabot проверяет все разрешённые зависимости, а затем фильтрует любые игнорированные зависимости или версии. Таким образом, зависимость, соответствующая как разрешением, так и игнорировать, будет игнорироваться. Примеры см. в разделе [Управление обновлениями зависимостей с помощью Dependabot](/ru/code-security/how-tos/secure-your-supply-chain/manage-your-dependency-security/controlling-dependencies-updated#ignoring-specific-dependencies).
Dependabot Поведение по умолчанию:
* Все зависимости, явно определённые в манифесте, поддерживаются в актуальном состоянии с помощью обновлений версий.
* Все зависимости, определённые в файлах блокировки с уязвимыми зависимостями, обновляются с помощью обновлений безопасности.
При `ignore` использовании Dependabot используется следующий процесс:
1. Проверьте наличие всех явно **разрешенных** зависимостей.
2. Затем отфильтруйте все **игнорируемые** зависимости или версии.
Если зависимость соответствует `allow` оператору и оператору`ignore`, он игнорируется\*\*\*\*.
| Параметры | Цель |
| ----------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `dependency-name` | Игнорируйте обновления зависимостей с именами сопоставления, при необходимости используя `*` для сопоставления ноль или более символов. |
| `versions` | Игнорировать определенные версии или диапазоны версий. |
| `update-types` | Игнорировать обновления на одном или нескольких уровнях семантического управления версиями. Поддерживаемые значения: `version-update:semver-patch`, `version-update:semver-minor`и `version-update:semver-major`. |
### `dependency-name` (`ignore`)
Для большинства диспетчеров пакетов необходимо определить значение, соответствующее имени зависимости, указанному в файле блокировки или манифеста. Некоторые системы имеют более сложные требования.
| Диспетчер пакетов | Обязательный формат | Example |
| ---------------------------- | ---------------------- | ------------------------------------------------------------------------------------------------------------------------------------------ |
| Gradle и Maven | `groupId:artifactId` | `org.kohsuke:github-api` |
| Docker для тегов изображений | Полное имя репозитория | Для тега `.dkr.ecr.us-west-2.amazonaws.com/base/foo/bar/ruby:3.1.0-focal-jemalloc`изображения используйте `base/foo/bar/ruby`. |
### `versions` (`ignore`)
Используйте для пропуска определенных версий или диапазонов версий. Если вы хотите определить диапазон, используйте стандартный шаблон для диспетчера пакетов. Рассмотрим пример.
* npm: использование `^1.0.0`
* Пакет: использование `~> 2.0`
* Docker: использование синтаксиса версии пакета
* NuGet: использование `7.*`
* Maven: использование `[1.4,)`
Примеры см. в разделе [Управление обновлениями зависимостей с помощью Dependabot](/ru/code-security/how-tos/secure-your-supply-chain/manage-your-dependency-security/controlling-dependencies-updated#ignoring-specific-versions-or-ranges-of-versions).
### `update-types` (`ignore`)
Укажите, какие семантические версии (SemVer) следует игнорировать. SemVer является принятым стандартом для определения версий программных пакетов в форме `x.y.z`.
Dependabot предполагает, что версии в этой форме всегда `major.minor.patch`являются .
* Используется `version-update:semver-patch` для включения выпусков исправлений.
* Используется `version-update:semver-minor` для включения дополнительных выпусков.
* Используется `version-update:semver-major` для включения основных выпусков.
## `insecure-external-code-execution`
Поддерживается: `bundler`, `mix` и `pip`.
Разрешить Dependabot выполнять внешний код в манифесте во время обновлений. Примеры см. в разделе ["Разрешение выполнения](/ru/code-security/how-tos/secure-your-supply-chain/manage-your-dependency-security/configure-access-to-private-registries#allowing-external-code-execution) внешнего кода".
Dependabot Поведение по умолчанию:
* Когда вы предоставляете Dependabot доступ к одному или нескольким реестрам, внешний код автоматически отключается для защиты вашего кода от скомпрометированных пакетов.
* Обновления версий могут завершиться ошибкой без возможности выполнения кода.
Если вы разрешаете `insecure-external-code-execution`:
* Dependabot будет выполнять код в манифесте в рамках процесса обновления версии.
* Код имеет доступ только к диспетчерам пакетов в реестрах, связанных с этим `updates`параметром. Доступ к любому из реестров, определенных в конфигурации верхнего уровня `registries` , не разрешен.
* Это должно обеспечить успешное обновление, но также может позволить скомпрометированному пакету украсть учетные данные или получить доступ к настроенным реестрам.
Поддерживаемое значение: `allow`.
## `labels`
Укажите собственные метки для всех запросов на вытягивание, возникающих для диспетчера пакетов. Примеры см. в разделе [Настройка запросов на вытягивание зависимостей для соответствия вашим процессам](/ru/code-security/tutorials/secure-your-dependencies/customizing-dependabot-prs).
Dependabot Поведение по умолчанию:
* Все запросы на вытягивание имеют `dependencies` метку.
* Если вы определяете несколько диспетчеров пакетов, в каждый запрос на вытягивание добавляется дополнительная метка для экосистемы или языка. Например, `java` для обновлений Gradle и `submodules` для обновлений подмодулы Git.
* Если в репозитории присутствуют метки семантической версии (SemVer), они будут применены автоматически для указания типа обновления версии (`major`, `minor`, или `patch`).
* Dependabot Создайте эти стандартные метки автоматически, по мере необходимости, в вашем репозитории.
При `labels` определении:
* Указанные метки используются вместо меток по умолчанию.
* Метки SemVer (если они присутствуют в репозитории) по-прежнему будут применяться в дополнение к любым определенным пользовательским меткам.
* Если какая-либо из этих меток не определена в репозитории, она пропускается.
* Вы можете отключить все метки, включая метки по умолчанию, с помощью `labels: [ ]`.
Установка этого параметра также влияет на запросы на вытягивание обновлений системы безопасности для файлов манифеста этого диспетчера пакетов, если только вы не используете `target-branch` для проверки наличия обновлений версий в ветви, отличной от ветви по умолчанию.
## `milestone`
Свяжите все запросы на вытягивание, поднятые для диспетчера пакетов, с вехой. Примеры см. в разделе [Настройка запросов на вытягивание зависимостей для соответствия вашим процессам](/ru/code-security/tutorials/secure-your-dependencies/customizing-dependabot-prs).
Dependabot Поведение по умолчанию:
* Не используются вехи.
При `milestone` определении:
* Все запросы на вытягивание диспетчера пакетов добавляются в веху.
Поддерживаемое значение: числовой идентификатор вехи.
> \[!TIP]
> Если вы посмотрите на веху, ее идентификатором является последняя часть URL-адреса страницы, после `milestone`. Например, см[. `https://github.com///milestone/3`раздел AUTOTITLE](/ru/issues/using-labels-and-milestones-to-track-work/viewing-your-milestones-progress).
## `multi-ecosystem-groups`
Определите группы, охватывающие несколько экосистем пакетов, чтобы получить единый Dependabot пулл-запрос, обновляющий все поддерживаемые экосистемы пакетов. Такой подход помогает сократить количество получаемых Dependabot pull requests и упростить рабочий процесс обновления зависимостей.
Dependabot Поведение по умолчанию:
* Создайте отдельные запросы на вытягивание для каждой экосистемы пакетов с обновлениями зависимостей.
Когда `multi-ecosystem-groups` используется:
* Обновления в нескольких экосистемах пакетов в одной группе объединяются в один запрос на вытягивание.
* Группы имеют собственные расписания и могут наследовать или переопределять отдельные параметры экосистемы.
### `multi-ecosystem-group`
Назначьте экосистемы отдельных пакетов группе с несколькими экосистемами с помощью `multi-ecosystem-group` параметра в `updates` конфигурации.
> \[!IMPORTANT]
> Обновления с несколькими экосистемами требуют определенных шаблонов конфигурации и имеют уникальное поведение объединения параметров. Полные инструкции по настройке, примеры конфигурации и подробные справочники по параметрам см. в разделе [Настройка обновлений с несколькими экосистемами для Dependabot](/ru/code-security/how-tos/secure-your-supply-chain/secure-your-dependencies/configuring-multi-ecosystem-updates).
```yaml copy
# Basic `dependabot.yml` file defining a multi-ecosystem-group
version: 2
multi-ecosystem-groups:
infrastructure:
schedule:
interval: "weekly"
updates:
- package-ecosystem: "docker"
directory: "/"
patterns: ["nginx", "redis"]
multi-ecosystem-group: "infrastructure"
- package-ecosystem: "terraform"
directory: "/"
patterns: ["aws"]
multi-ecosystem-group: "infrastructure"
```
## `open-pull-requests-limit`
Измените ограничение на максимальное количество запросов на вытягивание обновлений версий, открытых в любое время.
Dependabot Поведение по умолчанию:
* Если открыты пять запросов на вытягивание с обновлениями версий, дальнейшие запросы на вытягивание не создаются до тех пор, пока некоторые из этих открытых запросов не будут объединены или закрыты.
> \[!NOTE]
> Запросы на вытягивание *обновлений безопасности* не соответствуют этому ограничению и не учитываются. Количество открытых запросов на вытягивание для обновлений системы безопасности не ограничено.
При `open-pull-requests-limit` определении:
* Dependabot открывает pull requests до определённого целочисленного значения. Можно задать большое значение, чтобы эффективно убрать лимит на открытые запросы на вытягивание.
* Вы можете временно отключить обновления версий для менеджера пакетов, установив эту опцию на ноль, см. [Отключение Dependabot version updates](/ru/code-security/how-tos/secure-your-supply-chain/secure-your-dependencies/configure-version-updates#disabling-dependabot-version-updates).
## `package-ecosystem`
**Обязательный параметр.** Определите один `package-ecosystem` элемент для каждого менеджера пакетов, который вы хотите Dependabot отслеживать для новых версий. Репозиторий также должен содержать манифест зависимостей или файл блокировки для каждого диспетчера пакетов, см [. пример `dependabot.yml` файла](/ru/code-security/how-tos/secure-your-supply-chain/secure-your-dependencies/configure-version-updates#example-dependabotyml-file).
| Диспетчер пакетов | Значение YAML | Поддерживаемые версии |
| --------------------------------- | ---------------- | :-------------------: |
| | | |
| Базель | `bazel` | v7, v8, v9 |
| | | |
| Булочка | `bun` | >=v1.1.39 |
| Средство увязки программ в пакеты | `bundler` | версия 2 |
| Груз | `cargo` | версия 1 |
| Composer | `composer` | версия 2 |
| | | |
| Conda | `conda` | Неприменимо |
| | | |
| | | |
| Дено | `deno` | >=v2 |
| | | |
| Контейнеры разработки | `devcontainers` | Неприменимо |
| Докер | `docker` | версия 1 |
| Docker Compose | `docker-compose` | Версии 2, 3 |
| пакет SDK .NET | `dotnet-sdk` | >=.NET Core 3.1 |
| | | |
| Диаграммы Helm | `helm` | версия 3 |
| | | |
| Hex | `mix` | версия 1 |
| | | |
| Julia | `julia` | >=v1.10 |
| | | |
| Пакет ELM | `elm` | Версия 0.19 |
| Субмодуль Git | `gitsubmodule` | Неприменимо |
| GitHub Actions | `github-actions` | Неприменимо |
| Модули Go | `gomod` | версия 1 |
| Gradle (Грэйдл) | `gradle` | Неприменимо |
| Мейвен | `maven` | Неприменимо |
| | | |
| Никс-флейки | `nix` | Неприменимо |
| | | |
| npm | `npm` | v7, v8, v9, v10, v11 |
| NuGet | `nuget` | <=6.12.0 |
| | | |
| OpenTofu | `opentofu` | Неприменимо |
| | | |
| пит | `pip` | 26.1.1 |
| pip-compile | `pip` | 7.5.3 |
| pipenv | `pip` | 2024.4.1 |
| pnpm | `npm` | v7, v8, v9, v10 |
| poetry | `pip` | версия 2 |
| | | |
| До коммита | `pre-commit` | Неприменимо |
| | | |
| паб | `pub` | версия 2 |
| | | |
| Цепочка инструментов Rust | `rust-toolchain` | Неприменимо |
| | | |
| | | |
| sbt | `sbt` | Неприменимо |
| | | |
| Swift | `swift` | v5, v6 |
| Terraform | `terraform` | >= 0,13, <= 1.15.x |
| ультрафиолетовый | `uv` | v0.11 |
| | | |
| vcpkg | `vcpkg` | Неприменимо |
| | | |
| yarn | `npm` | v1, v2, v3, v4 |
## `pull-request-branch-name`
Dependabot Настройте способ создания имен ветвей для запросов на вытягивание. Вы можете настроить разделитель, префикс, длину, регистр, разделитель слов и предоставить пользовательский шаблон. Примеры см. в разделе [Настройка запросов на вытягивание зависимостей для соответствия вашим процессам](/ru/code-security/tutorials/secure-your-dependencies/customizing-dependabot-prs).
Dependabot Поведение по умолчанию:
* Создайте имена ветвей формы: `dependabot/PACKAGE-MANAGER/DEPENDENCY`
| Параметр | Type | По умолчанию | Description |
| --------------------------------------- | ------------------------------ | -------------- | --------------------------------------------------------------------------------------- |
| [`separator`](#separator) | String | `"/"` | Символ, используемый между сегментами имени ветви. |
| [`prefix`](#prefix) | Строка (максимум 50 символов) | `"dependabot"` | Строка, предустановленная в имя ветви. |
| [`max-length`](#max-length) | Целое число (20–244) | `100` | Максимальная длина символа имени ветви. |
| [`word-separator`](#word-separator) | String | Не установлено | Символ для замены символов подчеркивания (`_`) в содержимом имени ветви после префикса. |
| [`branch-name-case`](#branch-name-case) | String | Не установлено | Примените преобразование регистра к содержимому имени ветви после префикса. |
| [`template`](#template) | Строка (максимум 200 символов) | Не установлено | Шаблон настраиваемого формата с помощью заполнителей. |
Все параметры являются составными. Если `template` задано рядом с простыми параметрами, порядок обработки равен:
1. Отрисовка шаблона (подстановка заполнителей)
2. Замена разделителя (`/` заменено настроенным разделителем)
3. замена Word-разделителя (`_`заменено настроенным word-разделителем)
4. Преобразование регистра, примененное к содержимому после префикса
5. Усечение максимальной длины
### `separator`
Укажите символ, используемый `/` вместо сегментов имени ветви.
Поддерживаемые значения: `"-"`, `_`, `/`
Например, с `separator: "-"`: `dependabot/npm_and_yarn/lodash-4.17.21` становится `dependabot-npm_and_yarn-lodash-4.17.21`.
> \[!TIP]
> Символ дефиса должен быть экранирован, поэтому он не интерпретируется как запуск пустого списка YAML.
### `prefix`
Укажите настраиваемую строку, используемую в начале имени ветви, а не по умолчанию `dependabot`.
Значение может составлять до 50 символов.
Например, с `prefix: "deps"`: `dependabot/npm_and_yarn/lodash-4.17.21` становится `deps/npm_and_yarn/lodash-4.17.21`.
### `max-length`
Задайте максимальную допустимую длину для созданных имен ветвей.
* Минимальное значение: `20`.
* Максимальное значение: `244`.
* Значение по умолчанию: `100`.
* Если имя ветви превышает это ограничение, оно усечено, а хэш-суффикс добавляется для сохранения уникальности.
Например, с `max-length: 40`именем ветви, например `dependabot/npm_and_yarn/some-long-dependency-name-1.0.0` , усечено до 40 символов с хэш-суффиксом.
### `word-separator`
Укажите символ для замены подчеркивания (`_`) во всем содержимом имени ветви после префикса, включая имена диспетчера пакетов, имена зависимостей, имена групп и пути к каталогу.
Например, с помощью `word-separator: "-"`:
* `npm_and_yarn` → `npm-and-yarn`
* `front_end_dir` → `front-end-dir`
### `branch-name-case`
Примените преобразование регистра к содержимому имени ветви после префикса.
Поддерживаемые значения: `"lowercase"`, `"uppercase"`
Например, с `branch-name-case: "lowercase"`: `dependabot/npm_and_yarn/Lodash-4.17.21` становится `dependabot/npm_and_yarn/lodash-4.17.21`.
### `template`
Определите формат имени настраиваемой ветви с помощью заполнителей. Шаблон обеспечивает полный контроль над структурой созданных имен ветвей. Примеры см. в разделе [Настройка запросов на вытягивание зависимостей для соответствия вашим процессам](/ru/code-security/tutorials/secure-your-dependencies/customizing-dependabot-prs).
Доступные заполнители зависят от стратегии обновления:
| Placeholder | Соло обновления | Сгруппированные обновления | Группы с несколькими экосистемами | Description |
| ------------------- | :---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------: | :---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------: | :---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------: | -------------------------------------------------------------------------------------------------- |
| `{prefix}` | | | | Настроенный префикс (по умолчанию `dependabot`). |
| `{package_manager}` | | | | Идентификатор экосистемы пакета (например, `npm_and_yarn`). |
| `{directory}` | | | | Каталог файла зависимостей. |
| `{target_branch}` | | | | Целевая ветвь, если настроена. |
| `{dependency}` | | | | Имена зависимостей. |
| `{version}` | | | | Новая версия или ссылка. |
| `{group_name}` | | | | Имя настроенной группы. |
| `{name}` | | | | Имя стратегии: зависимость и версия для соло обновлений, имя группы для группированных обновлений. |
Правила проверки шаблона:
* Все заполнители должны быть распознаны и разрешены для используемой стратегии обновления.
* Фигурные скобки должны быть хорошо сформированы (без закрытых `{` или `}`).
* Использование `{package_manager}` в шаблоне группы с несколькими экосистемами вызывает ошибку проверки, так как ни один диспетчер пакетов не применяется.
* Отображаемое имя ветви должно быть допустимым именем ссылки на Git. Символы, такие как пробелы, `~`, `^``:``?``*``[`и не допускаются, и `\` последовательности, такие `..` как или `@{` отклоняются.
* Для сгруппированных и много экосистемных обновлений 10-символьный дайджест автоматически добавляется в имя ветви, чтобы гарантировать уникальность. Это не управляется пользователем.
## `rebase-strategy`
Отключите автоматическую перебазировку pull-запросов, вызванных Dependabot.
Dependabot По умолчанию перебазируется открытые pull request-запросы при Dependabot обнаружении изменений в версии или обновлении безопасности.
Dependabot проверяет изменения когда:
* Расписание выполняется для проверки обновлений версий.
* Вы снова открываете закрытый Dependabot pull request.
* Вы меняете значение в `target-branch`Dependabot конфигурационном файле, см. [`target-branch`](#target-branch-).
* Dependabot Pull request конфликтует после недавнего push-запроса на целевой ветке.
Когда `rebase-strategy` установлено на `disabled`, Dependabot перестают перебазировать pull requests.
> \[!NOTE]
> Запросы на вытягивание, открытые **перед** отключением повторной базы данных, будут перебазироваться до 30 дней после их открытия. Это влияет на все запросы на вытягивание, конфликты с целевой ветвью и все запросы на вытягивание обновлений версий.
## `registries`
Настройте доступ к частным реестрам пакетов для Dependabot обновления более широкого спектра зависимостей, см. [Настройка доступа к частным реестрам для Dependabot](/ru/code-security/how-tos/secure-your-supply-chain/manage-your-dependency-security/configure-access-to-private-registries) и [Руководство по настройке частных реестров для Dependabot](/ru/code-security/how-tos/secure-your-supply-chain/manage-your-dependency-security/configure-private-registries).
В файле есть 2 расположения `dependabot.yml` , в которых можно использовать `registries` ключ:
1. На верхнем уровне, где вы определяете частные реестры, которые вы хотите использовать, и сведения о доступе см. в разделе [Настройка доступа к частным реестрам для Dependabot](/ru/code-security/how-tos/secure-your-supply-chain/manage-your-dependency-security/configure-access-to-private-registries).
2. В блоках, где можно указать, какие частные `updates` реестры следует использовать каждому диспетчеру пакетов.
Dependabot По умолчанию поднимают pull requests только для обновления зависимостей, хранящихся в общедоступных реестрах.
Когда Dependabot в конфигурационном файле есть верхний `registries` уровень, определяющий доступ к одному или нескольким приватным реестрам, вы можете настроить каждый `package-ecosystem` из них на использование одного или нескольких таких регистров.
Если `registries` определяется для диспетчера пакетов:
* Каждый частный реестр, указанный для диспетчера пакетов, проверяется на наличие обновлений версии и системы безопасности.
* Dependabot использует данные доступа, определённые в верхнем разделе `registries` .
Поддерживаемые значения: `REGISTRY_NAME` или `"*"`
## `schedule`
**Обязательный параметр.** Определите частоту проверки новых версий для каждого диспетчера пакетов, который вы настраиваете с помощью `interval` параметра. Опционально, для ежедневных и недельных интервалов вы можете настраивать время Dependabot проверки обновлений. Примеры см. в разделе [Оптимизация создания запросов на вытягивание обновлений версий Dependabot](/ru/code-security/tutorials/secure-your-dependencies/optimizing-pr-creation-version-updates).
| Параметры | Цель |
| --------------------------------------------------- | ----------------------------------------------------------------------- |
| [`interval`](#interval) | |
| **Обязательно**. Определяет частоту для Dependabot. | |
| [`day`](#day) | Укажите день, который нужно запустить для еженедельного **интервала** . |
| [`time`](#time) | Укажите время выполнения. |
| | |
| [`cronjob`](#cronjob) | Определяет выражение cron, если тип интервала равен `cron`. |
| | |
| [`timezone`](#timezone) | Укажите часовой `time` пояс значения. |
### `interval`
Поддерживаемые значения: `daily`, , `weekly`, `monthly``quarterly`, `semiannually``yearly`или`cron`
Каждый диспетчер **пакетов должен** определить интервал расписания.
* Используется `daily` для запуска на каждый рабочий день, понедельник до пятницы.
* Используется `weekly` для запуска раз в неделю по умолчанию в понедельник.
* Используется `monthly` для запуска в первый день каждого месяца.
* Используется `quarterly` для запуска в первый день каждого квартала (январь, апрель, июль и октябрь).
* Используется `semiannually` для запуска каждые шесть месяцев, в первый день января и июля.
* Используется `yearly` для запуска в первый день января.
* Используется `cron` для параметра планирования на основе выражений cron. См. раздел [`cronjob`](#cronjob).
> \[!NOTE]
> Поддерживаемые значения `quarterly`, `semiannually`, и `yearly` доступны только на GitHub Enterprise Server версии 3.19.
По умолчанию Dependabot случайным образом назначается время для применения всех обновлений в конфигурационном файле. С помощью `time``timezone` параметров можно задать определенную среду выполнения для всех интервалов.\
Если использовать `cron` интервал, можно определить время обновления с помощью выражения `cronjob` .
### `day`
Поддерживаемые значения: `monday`, , `tuesday`, `wednesday``thursday`, `friday``saturday`или`sunday`
При необходимости запустите **еженедельные** обновления для диспетчера пакетов в определенный день недели.
### `time`
Формат: `hh:mm`
При необходимости выполните все обновления для диспетчера пакетов в определенное время суток. По умолчанию время интерпретируется как UTC.
### `cronjob`
Поддерживаемые значения: допустимое выражение cron в синтаксисе cron или естественном выражении.
Синтаксис Cron содержит пять полей, разделенных пробелом, где каждое поле представляет единицу времени.
```text
┌───────────── minute (0 - 59)
│ ┌───────────── hour (0 - 23)
│ │ ┌───────────── day of the month (1 - 31)
│ │ │ ┌───────────── month (1 - 12 or JAN-DEC)
│ │ │ │ ┌───────────── day of the week (0 - 6 or SUN-SAT)
│ │ │ │ │
* * * * *
```
Примеры: , `0 9 * * *``every day at 5pm`
`0 9 * * *` эквивалентен "каждый день в 9 утра".
`every day at 5pm` эквивалентна `0 17 * * *`.
> \[!NOTE]
>
> * Часовые пояса должны быть указаны в параметре [`timezone`](#timezone) , а не в `cronjob`.
> * Для `cronjob` использования интервала `cron` требуется расписание типов.
```yaml copy
# Basic `dependabot.yml` file for cronjob
version: 2
updates:
# Enable version updates for npm
- package-ecosystem: "npm"
# Look for `package.json` and `lock` files in the `root` directory
directory: "/"
# Check the npm registry for updates based on `cronjob` value
schedule:
interval: "cron"
cronjob: "0 9 * * *"
```
### `timezone`
Укажите часовой пояс для `time` значения. По умолчанию часовой пояс — `UTC`.
Идентификатор часового пояса должен соответствовать часовой поясу в базе данных, поддерживаемой [iana](https://www.iana.org/time-zones), см [. список часовых поясов](https://en.wikipedia.org/wiki/List_of_tz_database_time_zones) базы данных tz.
## `target-branch`
Определите конкретную ветвь для проверки обновлений версий и целевых запросов на вытягивание обновлений версий. Примеры см. в разделе [Настройка запросов на вытягивание зависимостей для соответствия вашим процессам](/ru/code-security/tutorials/secure-your-dependencies/customizing-dependabot-prs).
Dependabot Поведение по умолчанию:
* Dependabot использует стандартную ветку репозитория, см. [О ветке по умолчанию](/ru/pull-requests/reference/branches#about-the-default-branch).
При `target-branch` определении:
* Для обновления версий проверяются только файлы манифеста в целевой ветви.
* Все запросы на вытягивание обновлений версий открываются для указанной ветви.
* Параметры, определенные для этого`package-ecosystem`, больше не применяются к обновлениям системы безопасности, так как обновления безопасности всегда используют ветвь по умолчанию для репозитория.
## `exclude-paths`
Используйте для указания путей каталогов и файлов, которые Dependabot следует игнорировать при поиске манифестов и зависимостей. Этот параметр полезен, если требуется предотвратить обновления зависимостей в определенных расположениях, таких как тестовые ресурсы, поставщик кода или определенные файлы.
Dependabot Поведение по умолчанию:
* Все каталоги и файлы в указанном параметре `directory` включаются в проверку обновления, если этот параметр не исключен.
При `exclude-paths` определении:
* Все файлы и каталоги, соответствующие указанным путям, игнорируются во время проверки обновлений для указанной `package-ecosystem` записи.
| Параметр | Цель |
| --------------- | ------------------------------------------------------------------------------ |
| `exclude-paths` | Список шаблонов глобов для файлов или каталогов, которые следует игнорировать. |
Поддерживаются шаблоны glob, такие как `**` рекурсивное сопоставление и `*` подстановочные знаки с одним сегментом. Шаблоны относятся к указанному `directory` для конфигурации обновления. Каждая экосистема может иметь собственные `exclude-paths` параметры.
### Example
```yaml copy
version: 2
updates:
- package-ecosystem: "npm"
directory: "/"
schedule:
interval: "daily"
exclude-paths:
- "src/test/assets"
- "vendor/**"
- "src/*.js"
- "src/test/helper.js"
# Sample patterns that can be used-
# Pattern: docs/*.json
# Matches: docs/foo.json, docs/bar.json
# Pattern: *.lock
# Matches: Gemfile.lock, package.lock, foo.lock (in any directory)
# Pattern: test/**
# Matches: test/foo.rb, test/bar/baz.rb, test/any/depth/file.txt
# Pattern: config/settings.yml
# Matches: config/settings.yml
# Pattern: **/*.md
# Matches: README.md, docs/guide.md, any/depth/file.md
# Pattern: src/*
# Matches: src/main.rb, src/app.js
# Does NOT match: src/utils/helper.rb
# Pattern: hidden/.*
# Matches: hidden/.env, hidden/.secret
```
В этом примере Dependabot я игнорирую `src/test/assets` папку, все файлы под `vendor/`, все JavaScript-файлы непосредственно под `src/`, и конкретный файл `src/test/helper.js` при поиске обновлений.
## `vendor`
Поддерживается только: `bundler` и `gomod` только.
Скажите Dependabot сохранять зависимости, указанные поставщиками, а также зависимости, определённые файлами манифеста. Зависимость описывается как "поставщик" или "кэширована" при хранении кода в репозитории, см`bundle cache`.[](https://bundler.io/man/bundle-cache.1.html)
Примеры см. в разделе [Управление обновлениями зависимостей с помощью Dependabot](/ru/code-security/how-tos/secure-your-supply-chain/manage-your-dependency-security/controlling-dependencies-updated#updating-vendored-dependencies).
Dependabot Поведение по умолчанию:
* Сохраняйте только зависимости, записанные в манифесте и файлах блокировки, определенных для bundler.
* Вызов запросов на обновление безопасности и версий, которые обновляют номера версий, записанные в файлах манифеста и блокировки.
* Для модулей Go все поставщики зависимостей автоматически идентифицируются и поддерживаются так, как если бы `vendor` он был включен.
Если `vendor` включена:
* Dependabot также поддерживает зависимости для Bundler, которые хранятся в `_vendor/cache_` каталоге репозитория.
* Запросы на вытягивание иногда содержат обновления зависимостей, хранящихся в репозитории.
Поддерживаемые значения: `true` или `false`
## `versioning-strategy`
Поддерживается: `bundler`, `cargo`, `composer``helm``mix``npm``pip`, и `pub``uv`
Определите, как Dependabot следует редактировать файлы манифеста. Примеры см. в разделе [Управление обновлениями зависимостей с помощью Dependabot](/ru/code-security/how-tos/secure-your-supply-chain/manage-your-dependency-security/controlling-dependencies-updated#defining-a-versioning-strategy).
Dependabot Поведение по умолчанию:
* Попробуйте различать зависимости приложений и библиотек.
* Для приложений всегда увеличьте минимальное требование к версии, чтобы соответствовать новой версии. Стратегия `increase` .
* Для библиотек расширяйте требования к разрешенной версии, чтобы включить как новые, так и старые версии, когда это возможно. Стратегия `widen` .
Когда `versioning-strategy` определено, Dependabot используется заданная стратегия.
| Ценность | Поведение |
| ----------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `auto` | Поведение по умолчанию. |
| `increase` | Всегда увеличьте минимальное требование к версии, чтобы соответствовать новой версии. Если диапазон уже существует, обычно это только увеличивает нижнюю границу. |
| `increase-if-necessary` | Оставьте требование версии без изменений, если она уже разрешает новый выпуск (Dependabot по-прежнему обновляет разрешенную версию). В противном случае расширение требования. |
| `lockfile-only` | Создавать запросы на вытягивание только для обновления файлов блокировки. Пропускать все новые версий, для которых требуются изменения манифеста пакета. |
| `widen` | Расширяйте допустимые требования к версии для включения новых и старых версий, когда это возможно. Как правило, это увеличивает только максимально допустимое требование версии. |
Например, если текущая версия и `1.0.0` текущее ограничение является `^1.0.0` различными стратегиями, будет вызывать следующие обновления:
Новая версия `1.2.0`
* `increase`: новое ограничение `^1.2.0`
* `increase-if-necessary`: новое ограничение `^1.0.0`
* `widen`: новое ограничение `^1.0.0`
Новая версия `2.0.0`
* `increase`: новое ограничение `^2.0.0`
* `increase-if-necessary`: новое ограничение `^2.0.0`
* `widen`: новое ограничение `>=1.0.0 <3.0.0`
> \[!NOTE]
> Если менеджер пакетов, который вы используете, пока не поддерживает настройку параметра `versioning-strategy` или не поддерживает нужное значение, то код стратегии открытый код, поэтому если вы хотите, чтобы конкретная экосистема поддерживала новую стратегию, вы всегда можете отправить pull request в .
### Теги управления версиями
* Представляет этапы жизненного цикла выпуска программного обеспечения, такие как альфа, бета-версия и стабильные версии.
* Позволяет издателям более эффективно распространять свои пакеты.
* Укажите стабильность версии и сообщите, какие пользователи должны ожидать с точки зрения функций и стабильности.
Dependabot Распознаёт разнообразные версионные теги для предрелизов, стабильных версий и пользовательских тегов в разных экосистемах.
Файл `dependabot.yml` не управляет тегами управления версиями, которые можно использовать, но можно определить в параметрах конфигурации, таких как [`ignore`](/ru/code-security/reference/supply-chain-security/dependabot-options-reference#ignore--) поддерживаемые теги управления версиями, для которого требуется игнорировать обновления.
#### Поддерживаемые теги управления версиями
\| **Диспетчер пакетов** |
**Значение YAML** |
**Поддерживаемые теги** |
**Примеры** |
\|---------------------|----------------|--------------------|--------------|
\| Maven | `maven` | `alpha, a, beta, b, milestone, m, rc, cr, sp, ga, final, release, snapshot` |
`spring-security-web@5.6.0-SNAPSHOT`, `spring-core@5.2.0.RELEASE` |
\| npm | `npm` |
`alpha`, `beta`, `canary``dev``experimental``latest``legacy``next``nightly``rc``release``stable` |
`lodash@beta`, , `react@latest``express@next` |
\| pnpm | `npm` |
`alpha`, `beta`, `canary``dev``experimental``latest``legacy``next``nightly``rc``release``stable` |
`lodash@1.2.0-alpha`, , `react@alpha``vue@next` |
\| |
\| sbt | `sbt` | `alpha, a, beta, b, milestone, m, rc, cr, sp, ga, final, release, snapshot` |
`akka-actor@2.7.0-RC1`, `play-json@3.0.0-M1` |
\| |
\| yarn | `npm` |
`alpha`, `beta`, `canary``dev``experimental``latest``legacy``next``nightly``rc``release``stable` |
`lodash@1.2.0-alpha`, , `axios@latest``moment@nightly` |
\| Средство увязки программ в пакеты | `bundler` | Любой предрелизный идентификатор (обычно `alpha`, `beta`, `rc`, `pre`) |
`rails@1.0.0.alpha`, , `rack@1.0.0.beta1``rspec@1.0.0.rc2` |
\| Груз | `cargo` | Любой предрелизный идентификатор SemVer (обычно `alpha`, `beta`, `rc`, `dev`) |
`serde@1.0.0-alpha`, , `tokio@0.2.0-preview.3``clap@4.0.0-rc.1``rand@1.0.0-dev` |
\| pip | `pip` |
`a`, , `b``rc`, `dev``post` |
`requests@1.0.0a1`, , `numpy@2.0.0b3``django@4.0rc1`, `black@1.0.0.dev5``pandas@2.0.5.post1` |
\| pipenv | `pip` |
`a`, , `b``rc`, `dev``post` |
`requests@1.0.0a1`, , `numpy@2.0.0b3``django@4.0rc1`, `black@1.0.0.dev5``pandas@2.0.5.post1` |
\| pip-compile | `pip` |
`a`, , `b``rc`, `dev``post` |
`requests@1.0.0a1`, , `numpy@2.0.0b3``django@4.0rc1`, `black@1.0.0.dev5``pandas@2.0.5.post1` |
\| poetry | `pip` |
`a`, , `b``rc`, `dev``post` |
`requests@1.0.0a1`, , `numpy@2.0.0b3``django@4.0rc1`, `black@1.0.0.dev5``pandas@2.0.5.post1` |
\| Gradle | `gradle` |
`alpha`, `a`, , `beta``b``milestone`, , `m`, `rc`, `cr``snapshot``ga``final``release`, ( `sp` без регистра) |
`spring-boot-starter@3.0.0-RC1`, , `kotlin-stdlib@2.0.0-beta``guava@33.0.0-SNAPSHOT`, `junit@5.10.0-M2``ktor@2.3.0-rc.1` |
\| Elm | `elm` | Нет — только строгие `MAJOR.MINOR.PATCH` версии (без предрелизных версий) |
`elm/core@1.0.0`, , `elm/html@2.3.1``elm/json@10.0.0` |
\| Docker | `docker` |
`alpha`, , , , , , , `beta`, `rc`, , `dev`, , ( `preview` эвристическое обнаружение) `pre``nightly``snapshot``canary``unstable` |
`nginx@1.25.0-rc1`, , `node@20.0.0-alpha.1``redis@7.0.0-nightly`, `alpine@3.18.0-dev``ubuntu@22.04-preview` |
\| Субмодуль Git | `gitsubmodule` | Нет — пины для фиксации SHA или git-тегов (без схемы версионирования) |
`my-lib@abc1234`, `shared-utils@v1.2.0` |
\| Модули Go | `gomod` |
`alpha`, `beta`, `rc` (предрелиз SemVer после `-`) |
`github.com/go-chi/chi@v5.0.0-rc1`, , `google.golang.org/grpc@v1.60.0-beta.1``github.com/octo-org/octo-module@v0.17.0-alpha.1` |
\| |
\| Базель | `bazel` | Любой предрелизный идентификатор SemVer (обычно `alpha`, `beta`, `rc`) |
`rules_go@0.46.0-rc1`, , `rules_rust@0.40.0-beta``bazel_skylib@1.5.0-alpha` |
\| |
\| Булочка | `bun` |
`alpha`, `beta`, `rc`, `canary` (предрелиз SemVer после `-`) |
`bun@1.0.0-beta.1`, , `elysia@1.0.0-rc.3``hono@4.0.0-canary.1` |
\| Composer | `composer` |
`dev`, `alpha`, `a`, `beta``b`, , ( `RC` без регистра) |
`laravel/framework@11.0.0-alpha1`, , `symfony/console@7.0.0-beta2``monolog/monolog@3.0.0-RC1` |
\| |
\| Conda | `conda` |
`dev`, `alpha`, `a``beta``b``rc``c``post` |
`numpy@2.0.0a1`, , `pandas@2.1.0b2``scipy@1.12.0rc1``scikit-learn@1.4.0.dev0` |
\| |
\| |
\| Дено | `deno` | Любой предрелизный идентификатор SemVer (обычно `alpha`, `beta`, `rc`) |
`oak@13.0.0-alpha`, , `fresh@2.0.0-rc.1``std@0.220.0-beta.2` |
\| |
\| Контейнеры разработки | `devcontainers` | SemVer 2.0.0 (предрелиз не используется на практике) |
`ghcr.io/devcontainers/features/node@1.6.1`, `ghcr.io/devcontainers/features/python@1.6` |
\| пакет SDK .NET | `dotnet-sdk` |
`preview.N`, , `rc.N``alpha.N` |
`dotnet-sdk@9.0.100-preview.7.24407.12`, `dotnet-sdk@9.0.100-rc.2.24474.11` |
\| GitHub Actions | `github-actions` | Любой предрелизный идентификатор SemVer (обычно `alpha`, `beta`, `rc`) |
`my-org/my-action@v1.0.0-beta.1`, , `my-org/deploy@v2.0.0-rc1``my-org/lint@v3.0.0-alpha` |
\| |
\| Диаграммы Helm | `helm` | Любой предрелизный идентификатор SemVer (обычно `alpha`, `beta`, `rc`) |
`ingress-nginx@4.11.0-beta.0`, , `cert-manager@1.15.0-alpha.1``prometheus@25.0.0-rc1` |
\| |
\| Hex | `mix` | Любой предрелизный идентификатор SemVer (обычно `alpha`, `beta`, `rc`, `dev`) |
`phoenix/phoenix@1.7.0-rc.0`, , `elixir-ecto/ecto@3.11.0-beta.1``elixir-plug/plug@1.15.0-alpha.1` |
\| |
\| Julia | `julia` | Любой предрелизный идентификатор SemVer (обычно `rc`, `DEV`, `beta`) |
`HTTP@1.10.0-rc1`, , `Plots@2.0.0-DEV``DataFrames@1.6.0-beta.1` |
\| |
\| |
\| Никс | `nix` | Нет — отслеживает flake input commits (без схемы версионирования) |
`nixpkgs@a1b2c3d`, , `devenv@e4f5a6b``flake-utils@c7d8e9f` |
\| |
\| NuGet | `nuget` | Любой предрелизный идентификатор SemVer (обычно `alpha`, `beta`, `rc`, `preview`) |
`Newtonsoft.Json@13.0.0-rc1`, , `Microsoft.Extensions.Hosting@8.0.0-preview.7``Serilog@3.0.0-beta.1` |
\| |
\| OpenTofu | `opentofu` | Любой предрелизный идентификатор SemVer (обычно `alpha`, `beta`, `rc`) |
`opentofu/aws@5.0.0-alpha`, , `opentofu/google@5.0.0-rc1``opentofu/azurerm@4.0.0-beta1` |
\| |
\| |
\| До коммита | `pre-commit` | Любой предрелизный идентификатор SemVer (обычно `alpha`, `beta`, `rc`) |
`pre-commit/mirrors-mypy@1.10.0a1`, , `psf/black@24.1.0rc1``astral-sh/ruff-pre-commit@0.4.0-beta.1` |
\| |
\| Кабак | `pub` | Любой предрелизный идентификатор SemVer (обычно `dev`, `beta`, `rc`) |
`flutter/dio@5.0.0-dev.1`, , `dart-lang/http@1.2.0-beta.1``invertase/melos@4.0.0-rc.1` |
\| |
\| Цепочка инструментов Rust | `rust-toolchain` | Канал: `stable`, `beta`, `nightly` , (не предрелиз SemVer) |
`rust@1.78.0`, , `rust@beta``rust@nightly``rust@nightly-2024-01-15` |
\| |
\| Swift | `swift` | Любой предрелизный идентификатор SemVer (обычно `alpha`, `beta`, `rc`) |
`vapor/vapor@5.0.0-beta.1`, , `apple/swift-nio@3.0.0-rc1``pointfreeco/swift-composable-architecture@2.0.0-alpha.1` |
\| Terraform | `terraform` | Любой предрелизный идентификатор SemVer (обычно `alpha`, `beta`, `rc`) |
`hashicorp/aws@5.0.0-rc1`, , `hashicorp/google@4.0.0-alpha``hashicorp/azurerm@3.0.0-beta1` |
\| ультрафиолет | `uv` |
`a`, `b`, `rc``dev`, `post` (PEP 440) |
`requests@1.0.0a1`, , `numpy@2.0.0b3``django@4.0rc1`, `black@1.0.0.dev5``pandas@2.0.5.post1` |
\| |
\| vcpkg | `vcpkg` | Любой идентификатор пререлиза SemVer (обычно `beta`, `rc`) |
`zlib@1.3.1-beta1`, , `openssl@3.2.0-rc.1``fmt@10.2.0-beta` |
\| |
#### Детали версионирования, специфичные для экосистемы
Ниже приведены детали, описывающие, как Dependabot интерпретируется версионирование для конкретных экосистем.
* **Упаковщик:** Не использует фиксированный набор пререлизных тегов. Любой сегмент версии, содержащий букву, считается предрелизом (например, `.alpha`, `.beta1`, `.rc2`). Дефисы нормализуются внутренне `.pre.` (например, `1.0.0-beta` становится `1.0.0.pre.beta`).
* **Груз:** Следует конвенциям SemVer 2.0.0. Всё, что следует, `-` — это предрелизный идентификатор (с `[0-9A-Za-z-]`точками, ). Метаданные сборки (`+...`) разрешены, но игнорируются ради приоритета.
* **Gradle:** В дополнение к квалификаторам, указанным в таблице, распознаются следующие псевдонимы: `pr`/`pre`/`preview`→`rc`,`eap`/`ea` →.`alpha` Дополнительные квалификации до релиза включают `dev`, `experimental`, и `unstable`. Квалификаторы упорядочены по старшинству: `alpha`/`a` < `beta`/`b` < `milestone`/`m` < `rc`/`cr` < `snapshot`< (пусто/`ga`/`final`/`release`) < . `sp` Свободные идентификаторы, отсутствующие в этом списке, считаются стабильными.
* **pip/pipenv/pip-compile/поэзия (PEP 440):** В таблице перечислены канонические суффиксы пререлиза и после релиза. Псевдонимы также распознаются и нормализуются (`alpha`→`a`, `beta`→`b`,`c`/`pre`/`preview` →`rc`,`rev`/`r` →).`post` Поддерживаются эпохальные версии (`N!...`) и локальные версии (`+local`) — локальные сегменты используются только для разрешения ничьих, когда публичная версия идентична.
* **Вяз:** Применяет строгий SemVer (`MAJOR.MINOR.PATCH` только целые числа). Реестр пакетов Elm не позволяет публиковать версии до релиза.
Dependabot сравнивает версии по численности.
* **Модули Go:** После SemVer появляется обязательный `v` префикс. Псевдоверсии (`v0.0.0-YYYYMMDDHHMMSS-commithash`) представляют собой неопубликованные коммиты и всегда рассматриваются как предрелиз.
`+incompatible` Суффикс отмечает модули на основной версии 2+ без файла `go.mod` и не влияет на порядок версий.
* \*\*Подмодуль git:\*\*Dependabot отслеживает последний коммит на настроенной ветке. Сравнения версий нельзя — обновления всегда перемещают закреплённый SHA вперёд. Если подмодуль отслеживает тег, Dependabot он следует за его коммитом.
* **Базель:** Следует традициям предрелиза SemVer. Суффикс Bazel Central Registry (BCR) `.bcr.N` удаляется перед сравнением и не влияет на предрелизное обнаружение.
* **Дено:** Следует традициям предрелиза SemVer. Метаданные сборки (`+...`) поддерживаются, но игнорируются в зависимости от приоритета версии.
* **Булочка:** Следует предрелизным конвенциям SemVer в стиле npm. Метаданные сборки (`+...`) поддерживаются, но игнорируются в зависимости от приоритета версии.
* \*\*GitHub Actions:\*\*Dependabot разрешает версии действий из тегов git. Любой тег с предрелизным идентификатором SemVer (всё, что после `-`) считается предрелизом. Кроме того, релизы, отмеченные как предрелизные через GitHub Release API, распознаются независимо от формата тега.
* **Джулия:** Следует традициям предрелиза SemVer. Идентификаторы `DEV` пререлиза чувствительны к регистру (например, и `dev` отличаются).
* **Проклятие:** Следует традициям предрелиза SemVer. Любой идентификатор после `-` этого считается предрелизом.
* \*\*Нет:\*\*Dependabot Отслеживает вводные коммиты Flake, аналогично подмодулям git. Внутри версии представлены как псевдоверсии (`0.0.0-0.N`). Традиционного сравнения версий нет — обновления переносятся к последнему upstream-коммиту.
* **NuGet:** Следует конвенциям предрелиза SemVer 2.0.0. Метаданные сборки (`+...`) поддерживаются, но игнорируются в зависимости от приоритета версии.
* **OpenTofu:** Следует предрелизным конвенциям SemVer (то же, что и Terraform). Метаданные сборки (включая `+backport` суффикс) удаляются перед сравнением и не влияют на обнаружение до релиза.
* **Инструментарий Rust:** Использует версионирование на основе каналов (`stable`, `beta`, `nightly`) вместо идентификаторов предрелиза SemVer.
Dependabot Обновляет закреплённый канал или дату каждую ночь (например, `nightly-2024-01-15`) до последних доступных данных.
* **Терраформ:** Следует традициям предрелиза SemVer.
`v` Префикс удаляется перед сравнением. Метаданные сборки (`+...`) игнорируются для приоритета версии.
* **Композитор:** Следует стандартам стабильности PHP Composer (без регистра). Флаги устойчивости (`@dev`, `@beta`) в ограничениях удаляются перед сравнением.
`v` Префикс обрабатывается прозрачно.
* **Конда:** Соответствует спецификациям версии Conda (похоже на PEP 440). Поддерживаются эпохальные версии (`N!...`) и локальные версии (`+local`). Распознаются суффиксы после выпуска`post` ().
* **.NET SDK:** Идентификаторы пререлиза следуют `preview.N`схеме , `rc.N`, . `alpha.N` Предварительные обновления требуют `allowPrerelease: true` в `global.json`.
* **Карты руля:** Следует традициям предрелиза SemVer. Префиксы версий таблиц (например `chart-v`) и дайджесты сборки (`+sha256:...`) удаляются перед сравнением.
* **До коммита:** Разрешает версии с крючками из git-тегов. Обнаружение предрелиза использует как эвристику Gem::Version, так и флаг GitHub Release API`prerelease`. Также поддерживаются крючки с SHA-штифтом.
* **Публикация:** Следует традициям предрелиза SemVer. Метаданные сборки (`+...`) поддерживаются, но игнорируются в зависимости от приоритета версии.
* **Свифт:** Следует традициям предрелиза SemVer. В настоящее время фильтрация до релиза не применяется — все версии рассматриваются одинаково.
* **VCPKG:** Поддерживает несколько форматов версий: числовые с точки разделения, SemVer (без метаданных сборки) и данные по дате. Суффикс версии порта (`#N`) указывает на версии упаковки и не влияет на обнаружение до релиза.
#### Глоссарий тегов управления версиями
* **`alpha`:** ранняя версия может быть нестабильной и иметь неполные функции.
* **`beta`:** более стабильным, чем альфа- но может по-прежнему иметь ошибки.
* **`canary`:** регулярно обновляется предварительная версия для тестирования.
* **`dev`:** представляет версии разработки.
* **`experimental`:** версии с экспериментальными функциями.
* **`latest`:** последний стабильный выпуск.
* **`legacy`:** старые или устаревшие версии.
* **`next`:** предстоящая версия выпуска.
* **`nightly`:** версии, созданные ночью; часто включают последние изменения.
* **`rc`:** кандидат выпуска, близкий к стабильному выпуску.
* **`release`:** официальная версия выпуска.
* **`stable`:** самая надежная, готовая к работе версия.
## Ключ верхнего уровня `registries`
Укажите данные аутентификации, которые Dependabot можно использовать для доступа к частным реестрам пакетов, включая регистры, размещённые на GitLab или Bitbucket.
Значение ключа `registries` является ассоциативным массивом, каждый элемент которого состоит из ключа, определяющего конкретный реестр, и значения, являющегося ассоциативным массивом, которое указывает параметры, необходимые для доступа к реестру.
`dependabot.yml` Следующий файл настраивает реестр, определенный как `dockerhub` в `registries` разделе файла, а затем ссылается на этот файл в `updates` разделе файла.
```yaml copy
# Minimal settings to update dependencies stored in one private registry
version: 2
registries:
dockerhub: # Define access for a private registry
type: docker-registry
url: registry.hub.docker.com
username: octocat
password: ${{secrets.DOCKERHUB_PASSWORD}}
updates:
- package-ecosystem: "docker"
directory: "/docker-registry/dockerhub"
registries:
- dockerhub # Allow version updates for dependencies in this registry
schedule:
interval: "monthly"
```
Для указания параметров доступа используются следующие параметры. Параметры реестра должны содержать `type` и `url`, а также, как правило, либо сочетание `username` и `password`, либо `token`.
| Параметры | Характер использования |
| :------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | :----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `REGISTRY_NAME` | |
| \*\* | |
| \*\* Обязательный: определяет идентификатор реестра. | |
| `type` | |
| \*\* | |
| \*\* Обязательный: определяет тип реестра. | |
| Подробные сведения о проверке подлинности | |
| \*\* | |
| \*\* Обязательный: параметры, поддерживаемые для предоставления сведений о проверке подлинности, зависят от реестров разных типов. | |
| `url` | |
| \*\* | |
| \*\* Обязательный: URL-адрес, используемый для доступа к зависимостям в этом реестре. Протокол указывать необязательно. Если этот параметр не задан, для него предполагается значение `https://`. | |
| Dependabot добавляет или игнорирует следящие косые черты по необходимости. | |
| `replaces-base` | Если булево значение равно `true`, Dependabot разрешает зависимости с использованием указанного `url` , а не базового URL этой экосистемы. |
| | |
| `scope` | Только для `npm-registry` типа. Область действия NPM для связи с этим реестром, например `@my-company`. При `scope` предоставлении Dependabot конфигурация `.npmrc` генерируется из учетных данных реестра, переопределяя любой фиксированный `.npmrc` файл или вывод из блокировки. |
| | |
Подробные сведения о доступных вариантах, а также рекомендации и советы по настройке частных реестров см. в разделе [Руководство по настройке частных реестров для Dependabot](/ru/code-security/how-tos/secure-your-supply-chain/manage-your-dependency-security/configure-private-registries).
### `type` и сведения о проверке подлинности
Параметры, используемые для предоставления сведений о проверке подлинности для доступа к частному реестру, зависят от реестра `type`.
| Регистратура `type` | Обязательные параметры проверки подлинности |
| --------------------------------------------------------------------------------- | ------------------------------------------- |
| `cargo-registry` | `token` |
| `composer-repository` | |
| `username` и `password`. или OIDC с `tenant-id` и `client-id` | |
| `docker-registry` | |
| `username` и `password`. или OIDC с `tenant-id` и `client-id` | |
| `git` | |
| `username` и `password`. или OIDC с `tenant-id` и `client-id` | |
| `hex-organization` | |
| `organization` и `key`. | |
| `hex-repository` | |
| `repo` и `auth-key` при необходимости с соответствующими `public-key-fingerprint` | |
| `maven-repository` | |
| `username` и `password`. или OIDC с `tenant-id` и `client-id` | |
| `npm-registry` | |
| `username` и `password`. или `token` или OIDC с `tenant-id` и `client-id` | |
| `nuget-feed` | |
| `username` и `password`. или `token` или OIDC с `tenant-id` и `client-id` | |
| `pub-registry` | `token` |
| `python-index` | |
| `username` и `password`. или `token` или OIDC с `tenant-id` и `client-id` | |
| `rubygems-server` | |
| `username` и `password`. или `token` или OIDC с `tenant-id` и `client-id` | |
| `terraform-registry` | `token` |
Все конфиденциальные данные, используемые для проверки подлинности, должны храниться безопасно и ссылаться на нее из этого безопасного расположения, см. в разделе [Настройка доступа к частным реестрам для Dependabot](/ru/code-security/how-tos/secure-your-supply-chain/manage-your-dependency-security/configure-access-to-private-registries).
> \[!TIP]
> Если учетная запись является учетной записью GitHub, вместо пароля можно использовать GitHub personal access token вместо пароля.
Для получения дополнительной информации о поддержке OIDC см Dependabot. [OpenID Connect](/ru/actions/concepts/security/openid-connect#oidc-support-for-dependabot) и [Настройка доступа к частным реестрам для Dependabot](/ru/code-security/how-tos/secure-your-supply-chain/manage-your-dependency-security/configure-access-to-private-registries#using-oidc-for-authentication).
### `url` и `replaces-base`.
Параметр `url` определяет, где получить доступ к реестру. Когда опциональный `replaces-base` параметр включён (`true`), Dependabot разрешает зависимости, используя значение `url` , а не базовый URL конкретной экосистемы.
### `scope`
Параметр `scope` доступен для `npm-registry` типовых реестров. Он указывает, какой npm-область действия должен быть связан с реестром. Значение должно начинаться с `@`, например `@my-company`, . Чтобы связать несколько областей с одним URL реестра, создайте отдельную запись реестра для каждой области.
Когда `scope` она предоставлена, Dependabot конфигурация `.npmrc` генерируется на основе ваших учетных данных реестра. Эта сгенерированная конфигурация имеет приоритет над любым фиксированным `.npmrc` файлом или выводом на основе блокировки.
#### Приоритетный порядок для разрешения реестра NPM
При определении реестра для зависимостей от npm Dependabot следует следующий порядок приоритета:
1. **Генерация на основе учетных данных (`scope` или `replaces-base`):** Если `scope` или `replaces-base` настроено на любой `npm-registry` учетной записи в `dependabot.yml`, Dependabot генерирует из `.npmrc` этих учетных данных. Это всегда имеет приоритет, переопределяя любой закреплённый `.npmrc` файл.
2. **Зафиксировано `.npmrc` в репозитории:** Если нет `scope` установлено, Dependabot используется любой `.npmrc` файл, связанный в репозитории.
3. **Вывод по файлу блокировки (переходный):** Если `scope` нет и нет фиксированного `.npmrc`, Dependabot пытается вывести конфигурацию реестра из файла блокировки.
4. **Генерация ошибок:** Если ни один из вышеуказанных методов не удастся, сообщает Dependabot об ошибке с инструкциями добавить явную конфигурацию.