# Поддерживаемые экосистемы и репозитории Dependabot Dependabot поддерживает различные экосистемы и репозитории В этой статье содержатся справочные сведения о экосистемах пакетов и типах репозитория, которые Dependabot поддерживаются. Dependabot GitHub— это средство, которое помогает обеспечить безопасность зависимостей и актуальность. Он автоматически обнаруживает уязвимые или устаревшие зависимости в ваших репозиториях и создаёт pull requests для их обновления, что облегчает поддержание безопасности цепочки поставок вашего программного обеспечения. Дополнительные сведения см. в разделе [Краткое руководство по зависимостям](/ru/code-security/tutorials/secure-your-dependencies/dependabot-quickstart). ## Поддерживаемые экосистемы, поддерживаемые GitHub Обновления можно настроить для репозиториев, содержащих манифест зависимостей или файл блокировки для одного из поддерживаемых диспетчеров пакетов. Для некоторых диспетчеров пакетов можно также настроить поставщиков для зависимостей. Дополнительные сведения см. в статье [`vendor`](/ru/code-security/reference/supply-chain-security/dependabot-options-reference#vendor--). Dependabot также поддерживает зависимости в частных реестрах. Дополнительные сведения см. в разделе [Настройка доступа к частным реестрам для Dependabot](/ru/code-security/how-tos/secure-your-supply-chain/manage-your-dependency-security/configure-access-to-private-registries). > \[!NOTE] > > * При обновлении системы безопасности или версий некоторые экосистемы должны иметь возможность разрешить все зависимости от источника, чтобы убедиться, что обновления успешно выполнены. Если файлы манифеста или блокировки содержат какие-либо частные зависимости, Dependabot необходимо иметь доступ к расположению, в котором размещаются эти зависимости. Владельцы организации могут предоставлять Dependabot доступ к частным репозиториям, содержащим зависимости для проекта в той же организации. Дополнительные сведения см. в разделе [Управление параметрами безопасности и анализа для организации](/ru/organizations/keeping-your-organization-secure/managing-security-settings-for-your-organization/managing-security-and-analysis-settings-for-your-organization#allowing-dependabot-to-access-private-dependencies). Вы можете настроить доступ к частным реестрам в файле конфигурации репозитория `dependabot.yml` . Дополнительные сведения см. в разделе [Настройка доступа к частным реестрам для Dependabot](/ru/code-security/how-tos/secure-your-supply-chain/manage-your-dependency-security/configure-access-to-private-registries). > * Dependabot не поддерживает частные GitHub зависимости для всех диспетчеров пакетов. Подробные сведения см. в таблице ниже. Если репозиторий уже использует интеграцию для управления зависимостями, перед включением Dependabotнеобходимо отключить эту функцию. Для получения дополнительной информации см. [О интеграциях с GitHub](/ru/integrations/concepts/about-integrations). | Диспетчер пакетов | Значение YAML | Поддерживаемые версии | Обновления версий | Обновления для системы безопасности | Частные репозитории | Частные реестры | Вендоринг | | ----------------- | ------------- | --------------------- | :----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------: | :---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------: | :----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------: | :---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------: | :---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------: | | | | | | | | | | | Базель | `bazel` | v7, v8, v9 | | | | | | | | | | | | | | | [Булочка](#bun) | `bun` | >=v1.1.39 | | | | | | Средство увязки программ в пакеты | `bundler` | Версия 2 | | | | | | [Груз](#cargo) | `cargo` | Версия 1 | | | | | | Composer | `composer` | Версия 2 | | | | | | \| | [Conda](#conda). | `conda` | Нет данных | | | | | | \| | \| | [Дено](#deno) | `deno` | >=v2 | | | | | | \| | [Контейнеры разработки](#dev-containers) | `devcontainers` | Нет данных | | | | | | [Docker](#docker) | `docker` | Версия 1 | | | | | Нет данных | [Docker Compose](#docker-compose) | `docker-compose` | Версии 2, 3 | | | | | Нет данных | пакет SDK .NET | `dotnet-sdk` | >=.NET Core 3.1 | | | Нет данных | Нет данных | Нет данных | [Диаграммы Helm](#helm-charts) | `helm` | v3 | | | | | Нет данных | Hex | `mix` | Версия 1 | | | | | | \| | [Юлия](#julia) | `julia` | >=v1.10 | | | | | | \| | Пакет ELM | `elm` | Версия 0.19 | | | | | | Субмодуль Git | `gitsubmodule` | Нет данных | | | | | Нет данных | [GitHub Actions](#github-actions) | `github-actions` | Нет данных | | | | | Нет данных | Модули Go | `gomod` | Версия 1 | | | | | | [Градл](#gradle) | `gradle` | Нет данных | | | | | | [Maven](#maven) | `maven` | Нет данных | | | | | | \| | [Никс](#nix) | `nix` | Нет данных | | | | Нет данных | Нет данных | \| | npm | `npm` | v7, v8, v9, v10, v11 | | | | | | [NuGet](#nuget-cli) | `nuget` | <=6.12.0 | | | | | | \| | [OpenTofu](#opentofu) | `opentofu` | Нет данных | | | | | Нет данных | \| | [pip](#pip-and-pip-compile) | `pip` | 26.1.1 | | | | | | pipenv | `pip` | 2024.4.1 | | | | | | [pip-compile](#pip-and-pip-compile) | `pip` | 7.5.3 | | | | | | \| pnpm | `npm` | v7, v8, v9, v10 | | | | | | [Поэзия](#poetry) | `pip` | Версия 2 | | | | | | \| | [До коммита](#pre-commit) | `pre-commit` | Нет данных | | | | | | \| | [pub](#pub) | `pub` | Версия 2 | | | | | | \| | [Цепочка инструментов Rust](#rust-toolchain) | `rust-toolchain` | Нет данных | | | | Нет данных | Нет данных | \| | \| | [sbt](#sbt) | `sbt` | Нет данных | | | | | | \| | [Swift](#swift) | `swift` | v5, v6 | | | | (только git) | | [Terraform](#terraform) | `terraform` | >= 0,13, <= 1.15.x | | | | | Нет данных | \| | ультрафиолетовый | `uv` | v0.11 | | | | | Нет данных | \| | \| | [vcpkg](#vcpkg) | `vcpkg` | Нет данных | | | | | Нет данных | \| | [пряжа](#yarn) | `npm` | v1, v2, v3, v4 | | | | | | > \[!TIP] > Для таких диспетчеров пакетов, как `pipenv` и `poetry`, необходимо использовать `pip` значение YAML. Например, если вы используете `poetry` для управления Python зависимостями и хотите Dependabot для мониторинга файла манифеста зависимостей для новых версий, используйте `package-ecosystem: "pip"` в файле `dependabot.yml`. Для дополнительной информации о поддержке экосистемы для Dependabot security updatesсм. [также AUTOTITLE](/ru/code-security/reference/supply-chain-security/dependency-graph-supported-package-ecosystems). ### Булочка Dependabot поддерживает текущий `bun.lock` стандартный текстовый файл, но не устаревший бинарный `bun.lockb` файл. Файл `bun.lock` поддерживается в версии 1.1.39 и выше. Дополнительные сведения см[. в документации по Bun.](https://bun.sh/docs/install/lockfile) ### Груз Поддержка частных реестров включает реестры грузов, чтобы вы могли Dependabot поддерживать зависимости от Rust up-toдате. Дополнительные сведения см. в разделе [Руководство по настройке частных реестров для Dependabot](/ru/code-security/how-tos/secure-your-supply-chain/manage-your-dependency-security/configure-private-registries#cargo). ### Conda. Dependabot Поддержка Conda **не включает частные реестры, поставщиков или обновления блокировки файлов**. ### Дено Dependabot может обновлять зависимости в `deno.json` и `deno.jsonc` конфигурационных файлах. Проекты Deno могут использовать зависимости из [JSR](https://jsr.io/) (реестр JavaScript) или из реестра npm. Dependabot поддержка Deno **не включает частные реестры или поставщиков**. ### Контейнеры разработки Вы можете использовать `devcontainers` в качестве `package-ecosystem` файла для `dependabot.yml` обновления компонентов в `devcontainer.json` файлах конфигурации. Для получения дополнительной информации об этой поддержке и примеров конфигурационных файлов см. [раздел «Общая доступность Dependabot интеграции](https://containers.dev/guide/dependabot) » в документации контейнеров разработки. Контейнеры разработки используются в нескольких инструментах и сервисах, включая Codespaces. Дополнительные сведения о функциях и поддерживаемых службах см. в документации [](https://containers.dev/implementors/features/)[по контейнерам разработки и поддержке функций и вспомогательных служб](https://containers.dev/supporting) соответственно. Этот средство обновления гарантирует, что компоненты закреплены до последней `major` версии в связанном `devcontainer.json` файле. Если контейнер разработки имеет файл блокировки, этот файл также будет обновлен. Дополнительные сведения о спецификациях lockfile см. в разделе [Lockfiles](https://github.com/devcontainers/spec/blob/main/docs/specs/devcontainer-lockfile.md) в репозитории `devcontainers/spec` . Функции в любом допустимом расположении контейнера разработки будут обновлены в одном запросе на вытягивание. Дополнительные сведения о спецификации контейнера разработки см[](https://containers.dev/implementors/spec/#devcontainerjson). в документации по контейнерам разработки. ### Docker Dependabot может добавлять метаданные из образов Docker в запросы на обновления версий. Метаданные включают заметки о выпуске, журналы изменений и журнал фиксации. Администраторы репозитория могут использовать метаданные для быстрой оценки риска стабильности обновления зависимостей. Для Dependabot получения метаданных Docker сопровождающие изображения Docker должны добавить метку `org.opencontainers.image.source` в свой файл Docker, а также указать URL исходного репозитория. Кроме того, поддержку должны пометить репозиторий с теми же тегами, что и опубликованные образы Docker. Пример см. в репозитории [`dependabot-fixtures/docker-with-source`](https://github.com/dependabot-fixtures/docker-with-source) . Дополнительные сведения о метках Docker см. в разделе ["Метки образов](https://docs.docker.com/desktop/extensions-sdk/extensions/labels/) расширения" и [BUILDX\_GIT\_LABELS](https://docs.docker.com/build/building/env-vars/#buildx_git_labels) в документации По Docker. Dependabot может обновлять теги изображений Docker в манифестах Kubernetes. Добавьте запись в элемент Docker файла `package-ecosystem` для каждого каталога, содержащего манифест Kubernetes, который ссылается на теги изображений Docker`dependabot.yml`. Манифесты Kubernetes могут быть файлами YAML развертывания Kubernetes или диаграммами Helm. Сведения о настройке `dependabot.yml` файла `docker`см. в разделе "`package-ecosystem`" в [Справочник по параметрам зависимостей](/ru/code-security/reference/supply-chain-security/dependabot-options-reference#package-ecosystem-). Dependabot поддерживает как публичные, так и частные реестры Docker. Список поддерживаемых реестров см. в разделе "`docker-registry`" в [Настройка доступа к частным реестрам для Dependabot](/ru/code-security/how-tos/secure-your-supply-chain/manage-your-dependency-security/configure-access-to-private-registries#docker-registry). Dependabot parses image tags Docker for Semantic Versioning ([SemVer](https://semver.org/)). Если Dependabot обнаружит тег с предрелизом, то будет только предложение обновления до последней версии с соответствующим пререлизом, и не будет предусматривать более новую версию с другим предрелизным ярлыком. Дополнительные сведения см `dependabot-docker`[. в файле README.md](https://github.com/dependabot/dependabot-core/blob/main/docker/README.md) в репозитории `dependabot/dependabot-core` . ### Docker Compose Dependabot поддерживает Docker Compose аналогично Docker. Дополнительные сведения см. в разделе [Docker](#docker). ### GitHub Actions Dependabot поддерживает обновления версий с GitHub Actions такими оговорками. * Dependabot поддерживает только обновления для GitHub Actions использования синтаксиса GitHub репозитория, например `actions/checkout@v6` или `actions/checkout@` . Dependabot будет игнорировать действия или повторно используемые рабочие процессы, на которые ссылаются локально (например, `./.github/actions/foo.yml`). * Dependabot обновляет документацию по версии, когда GitHub Actions комментарий находится в той же строке, например `actions/checkout@ #` или `actions/checkout@ #`. * Если используемая фиксация не связана с тегом, Dependabot обновит GitHub Actions последнюю фиксацию (которая может отличаться от последней версии). * Docker Hub и GitHub PackagesContainer registry URL-адреса в настоящее время не поддерживаются. Например, ссылки на действия контейнера Docker с использованием `docker://` синтаксиса не поддерживаются. * Dependabot поддерживает как общедоступные, так и частные репозитории для GitHub Actions. Параметры конфигурации частного реестра см. в разделе "`git`" в [Настройка доступа к частным реестрам для Dependabot](/ru/code-security/how-tos/secure-your-supply-chain/manage-your-dependency-security/configure-access-to-private-registries#git). Для получения дополнительной информации о использовании Dependabot version updates с GitHub Actions, см. [Справочник по безопасному использованию](/ru/actions/reference/security/secure-use#keeping-the-actions-in-your-workflows-secure-and-up-to-date). ### Gradle Dependabot поддерживает обновления следующих файлов без необходимости запуска Gradle: * `build.gradle`, `build.gradle.kts` (для проектов Kotlin) * `gradle/libs.versions.toml` (для проектов с использованием стандартного каталога версий Gradle) * `gradle.lockfile` (для проектов, использующих блокировку зависимостей Gradle) * Файлы, включенные `apply` через объявление, которое содержится `dependencies` в имени файла. Обратите внимание, что `apply` не поддерживает `apply to`, рекурсию или расширенные синтаксисы (например,`apply` в Kotlin с `mapOf`, имена файлов, определенные свойством). Чтобы обновить Gradle Wrapper, Dependabot запускается Gradle и обновляется: * `gradle/wrapper/gradle-wrapper.properties` * `gradlew` * `gradlew.bat` * `gradle/wrapper/gradle-wrapper.jar` Dependabot Использует `pom.xml` информацию из файла зависимостей для добавления ссылок на информацию релизов в запросах на обновления. Если информация отсутствует в `pom.xml` файле, то она не может быть включена в Dependabot pull requests, см. [Метаданные пакета Java для обновлений Dependabot](/ru/code-security/reference/supply-chain-security/java-package-metadata-dependabot). Для Dependabot security updates, поддержка Gradle ограничена ручной загрузкой данных графа зависимостей с API отправки зависимостейиспользованием . Дополнительные сведения см. в API отправки зависимостейразделе [Использование API отправки зависимостей](/ru/code-security/how-tos/secure-your-supply-chain/secure-your-dependencies/use-dependency-submission-api). > \[!NOTE] > > * Когда вы загружаете зависимости Градля в граф зависимостей, используя API отправки зависимостей, загружаются все зависимости проекта, даже транзитивные зависимости, которые явно не упоминаются ни в одном файле зависимостей. Когда оповещение обнаружено в транзитивной зависимости, Dependabot не может найти уязвимую зависимость в репозитории и, следовательно, не создаёт обновления безопасности для этого оповещения. > * Dependabot version updates однако будет создавать pull request, когда родительская зависимость явно объявлена прямой зависимостью в манифесте проекта. ### Диаграммы Helm Dependabot Поддерживает использование имени пользователя и пароля для реестров. Дополнительные сведения см. в разделе [Настройка доступа к частным реестрам для Dependabot](/ru/code-security/how-tos/secure-your-supply-chain/manage-your-dependency-security/configure-access-to-private-registries#helm-registry). Этот `helm-registry` тип поддерживает только HTTP Basic Auth и не поддерживает реестры, совместимые с OCI. Если вам нужно получить доступ к реестру, совместимому с OCI, для карт Helm, настройте вместо этого.`docker-registry` Дополнительные сведения см. в разделе [Настройка доступа к частным реестрам для Dependabot](/ru/code-security/how-tos/secure-your-supply-chain/manage-your-dependency-security/configure-access-to-private-registries#docker-registry). При настройке Dependabot для карт Helm он также автоматически обновляет изображения Docker, указанные в этих диаграммах, обеспечивая актуальность как версий карт, так и содержащихся в них изображений. ### Maven Dependabot Maven не запускается, но поддерживает обновления `pom.xml` файлов. Dependabot Использует `pom.xml` информацию из файла зависимостей для добавления ссылок на информацию релизов в запросах на обновления. Если информация отсутствует в `pom.xml` файле, то она не может быть включена в Dependabot pull requests, см. [Метаданные пакета Java для обновлений Dependabot](/ru/code-security/reference/supply-chain-security/java-package-metadata-dependabot). ### Никс Dependabot Отслеживает ваш `flake.lock` файл и открывает pull request, когда доступны новые коммиты для ваших flake входов. GitHubПоддерживаются входы GitLab, SourceHut и обычный Git. Обновление закреплённых ссылок внутри `flake.nix` себя (например, изменение `github:cachix/devenv/v0.5` на новый тег) не поддерживается. Dependabot в настоящее время не поддерживает частные репозитории для экосистемы `nix` . ### Интерфейс командной строки NuGet Dependabot не запускает NuGet CLI, но поддерживает большинство функций до версии 6.8.0. ### pip и pip-компиляция Dependabot Поддерживает обновления любого `.txt` файла. Кроме того, Dependabot поддерживает обновления `pyproject.toml` файлов, если они соответствуют стандарту PEP 621. ### poetry Dependabot поддерживает Poetry v2. ### До коммита Dependabot Можно обновлять хук-версии в `.pre-commit-config.yaml` файлах. Когда крюк закрепляет конкретный SHA коммита, Dependabot разрешает последний совпадающий тег и соответственно обновляет `rev` значение. Вы можете использовать `# frozen:` комментарий после `rev` значения, чтобы прикрепить крюк к определённой версии или префиксу версии. Dependabot использует этот комментарий, чтобы определить, нужно ли обновление и какой тег устранить. | Сценарий | Поведение | | ------------------------------------------------------------------------ | ---------------------------------------------------------------------------------- | | `rev: # frozen: 7.3.0` а версия 7.3.0 — это последняя версия | Обновлений нет. Зависимость уже актуальна. | | `rev: # frozen: 7.3.0` и версия 8.0.0 была выпущена | Обновлено до SHA для тега `8.0.0` . Комментарий обновлен до `# frozen: 8.0.0`. | | `rev: # frozen: v1` и `v1.43.5` является последним `v1.x` релизом | Обновлено до SHA для тега `v1.43.5` . Комментарий обновлен до `# frozen: v1.43.5`. | | `rev: ` без `# frozen:` комментариев | Обновлено до HEAD SHA стандартной ветки. | Помимо обновления версий крючков, Dependabot может обновлять `additional_dependencies` для хуков, использующих следующие языки: Python, Node, Go, Rust, Ruby и Dart. Поддержка частных реестров использует реестры git. Вы можете настроить доступ для частных репозиториев Git, указав реестр Git в `dependabot.yml` файле. Дополнительные сведения см. в разделе [Настройка доступа к частным реестрам для Dependabot](/ru/code-security/how-tos/secure-your-supply-chain/manage-your-dependency-security/configure-access-to-private-registries#git). > \[!NOTE] > Частные реестры не поддерживаются для `additional_dependencies`. ### Цепочка инструментов Rust Dependabot поддерживает автоматические обновления для версий Rust toolchain, определённых в `rust-toolchain.toml` файлах AND `rust-toolchain` . Поддерживаемые шаблоны Dependabot обновления могут обновляться: * Цепочки инструментов с версиями, такие как `channel = "1.xx.yy"` и `channel = "1.xx"`. * Устаревшие цепочки инструментов, такие как `channel = "nightly-YYYY-MM-DD"` и `channel = "beta-YYYY-MM-DD"`. ### sbt Dependabot Поддерживает обновления файлов зависимостей SBT. SBT разрешает артефакты из репозиториев Maven и использует тот же порядок версий, что и Maven. Поддерживаются следующие файлы манифеста: * `build.sbt` (root): получено как обязательный файл. * `project/plugins.sbt`: вынесено, если есть. * `project/build.properties`: вынесено, если есть. * `project/*.scala`: все `.scala` файлы в `project/` каталоге. * `{subdir}/build.sbt`: сканирует корневые подкаталоги (за исключением `project/`, `target/`, `.git`, `.github`). ### Swift Поддержка частного реестра применяется только к реестрам Git. Реестры Swift не поддерживаются. Не декларативные манифесты не поддерживаются. Дополнительные сведения о не декларативных манифестах см. в разделе ["Редактирование не декларативных манифестов](https://github.com/apple/swift-evolution/blob/7003da1439ad60896ec14657dfce829f04b0632c/proposals/0301-package-editing-commands.md#editing-non-declarative-manifests) " в документации по Swift Evolution. ### Terraform Поддержка Terraform включает: * Модули, размещенные в Реестре Terraform или общедоступном репозитории Git. * Поставщики Terraform. * Частный реестр Terraform. Вы можете настроить доступ для частных репозиториев Git, указав реестр Git в `dependabot.yml` файле. Дополнительные сведения см. в статье [`git`](/ru/code-security/how-tos/secure-your-supply-chain/manage-your-dependency-security/configure-access-to-private-registries#git). ### vcpkg Поддержка vcpkg включает обновление SHA фиксации `builtin-baseline` из репозитория портов vcpkg в `vcpkg.json` файле манифеста. Для получения дополнительной информации посетите репозиторий [`microsoft/vcpkg`](https://github.com/microsoft/vcpkg) на GitHub.com и смотрите [Что такое режим манифеста?](https://learn.microsoft.com/vcpkg/concepts/manifest-mode) в документации Microsoft. ### пряжа Dependabot поддерживает поставщики зависимостей для версии 2. ## Поддерживаемые экосистемы, поддерживаемые сообществами Следующие экосистемы поддерживаются их поддерживающими сообществами, расположенными выше по течению. GitHub интегрирует Dependabot с этими экосистемами, но не поддерживает их напрямую. * [Джулия](#julia) — поддерживается сообществом Джулии * [OpenTofu](#opentofu) — поддерживается сообществом OpenTofu * [Паб](#pub) — поддерживается сообществом Dart ### Юлия Dependabot поддерживает проекты Julia, включающие файлы `Project.toml`/`Manifest.toml`. Dependabot использует менеджер пакетов Julia для решения и обновления зависимостей. ### OpenTofu Dependabot поддерживает обновление модулей и провайдеров OpenTofu в `.tf` конфигурационных `.tofu` файлах, включая `terragrunt.hcl` файлы. Если `.terraform.lock.hcl` файл блокировки для контрольных сумм провайдера присутствует, Dependabot я также обновлю его. ### Кабак Dependabot не выполняет обновление, если `pub` версия, к которой пытается обновиться, игнорируется, даже если доступна более ранняя версия. Вы можете использовать Dependabot для сохранения зависимостей Dart up-to-date, если используете приватные хостинговые репозитории пабов. Для получения информации о разрешении Dependabot доступа к частным GitHub зависимостям см [. раздел «Разрешение Dependabot доступа к частным зависимостям](/ru/organizations/keeping-your-organization-secure/managing-security-settings-for-your-organization/managing-security-and-analysis-settings-for-your-organization#allowing-dependabot-to-access-private-dependencies)».