{"meta":{"title":"关于 dependabot.yml 文件","intro":"dependabot.yml 控制存储库中的自动依赖项更新。","product":"安全性和代码质量","breadcrumbs":[{"href":"/zh/code-security","title":"安全性和代码质量"},{"href":"/zh/code-security/concepts","title":"Concepts"},{"href":"/zh/code-security/concepts/supply-chain-security","title":"供应链安全"},{"href":"/zh/code-security/concepts/supply-chain-security/about-the-dependabot-yml-file","title":"dependabot.yml 文件"}],"documentType":"article"},"body":"# 关于 dependabot.yml 文件\n\ndependabot.yml 控制存储库中的自动依赖项更新。\n\n`dependabot.yml`文件是一个可选配置文件，允许您在存储库中精细控制Dependabot和\\_安全更新\\_等依赖项的监视和更新方式。\n\n`dependabot.yml`如果没有文件，如果已在存储库设置中启用Dependabot，Dependabot security updates仍然可以为易受攻击的依赖项创建安全更新。 但是，不会收到自动版本更新或控制更新计划和其他配置选项。\n\n该文件 `dependabot.yml` 使用 YAML 语法。 如果你是 YAML 新手并想了解更多信息，请参阅[五分钟学会 YAML](https://learnxinyminutes.com/yaml/)。\n\n> \\[!NOTE]\n> Dependabot alerts 在存储库或组织“设置”选项卡中配置，而非在 `dependabot.yml` 文件中配置，请参阅 [配置 Dependabot 警报](/zh/code-security/how-tos/secure-your-supply-chain/secure-your-dependencies/configure-dependabot-alerts)。\n\n## 文件 `dependabot.yml` 的作用\n\n文件 `dependabot.yml` 控制 Dependabot 如何对依赖项执行更新。 使用此文件，可以：\n\n### 关于版本更新\n\n* 启用自动版本更新\n* 指定要监视的包生态系统和目录\n* 设置更新计划\n* 自定义拉取请求标签、分配者、审阅者以及提交消息\n* 控制要更新或忽略的依赖项\n* 为专用注册表配置身份验证\n\n### 有关安全更新\n\n* 使用标签、分配者和审阅者自定义安全更新拉取请求\n* 定义安全更新的目标分支\n* 配置专用注册表身份验证\n* 对未完结的拉取请求设置限制\n\n## 存储 `dependabot.yml` 文件的位置\n\n必须将此文件存储在默认分支（通常为`.github`）的`main`目录中，位置为`.github/dependabot.yml` 或`.github/dependabot.yaml`。\n\n## 文件 `dependabot.yml` 的工作原理\n\n在存储库中添加或更新 `dependabot.yml` 文件时， Dependabot 读取配置并开始根据定义的计划监视指定的包生态系统。 找到可用的更新时，Dependabot 会创建包含依赖项更改的拉取请求，并遵循您在配置中指定的任何自定义规则。\n\n配置文件要求每个包生态系统监视以下密钥。\n\n* **`version`**：指定 Dependabot 配置语法版本的顶级字段。\n* **`updates`**：用于定义每个需要监视更新的包生态系统的顶级部分。\n* **`package-ecosystem`**：定义在`updates`下，指定要更新的包管理器（例如 npm、pip 或 Docker）。\n* **`directories` 或 `directory`**：在每个 `package-ecosystem` 条目下定义，指定清单或依赖项定义文件的位置。\n* **`schedule.interval`**：在每个 `package-ecosystem` 条目下定义，设置检查版本更新的频率（如 `daily`、`weekly` 或 `monthly`）。\n\n## 基本示例\n\n以下是一个每日监视 npm 依赖项的最小 `dependabot.yml` 文件：\n\n```yaml copy\nversion: 2\nupdates:\n  - package-ecosystem: \"npm\"\n    directory: \"/\"\n    schedule:\n      interval: \"daily\"\n```\n\n## 后续步骤\n\n* 配置存储库，以便 Dependabot 自动更新使用的包，请参阅 [配置 Dependabot 版本更新](/zh/code-security/how-tos/secure-your-supply-chain/secure-your-dependencies/configure-version-updates)"}