[Feature][Build] Enable Dependabot security updates via .asf.yaml

Offen Anfängerfreundlich
  • Stimmt etwas nicht?
#9,279 0 Kommentare 0 Reaktionen 0 zugewiesene Personen Auf GitHub ansehen

Maintainer antworten meist innerhalb von 2 Tagen

Dieses Issue hat noch niemand übernommen.

Bewertung

Schwierigkeit
2/5
Geschätzter Aufwand
1-3 Stunden
Anfängerfreundlichkeit
60/100
Issue-Typ
Feature
Klarheit
Klar beschrieben
Aktivitätsstatus
Aktiv
Tech-Stack
github, github-actions, go
Bereich
devops, security

Rechercherichtung

Lies die Konfiguration .asf.yaml und .github/dependabot.yml des Repositorys und prüfe anschließend, wie die ASF-Repository-Einstellungen dependabot_alerts und dependabot_updates verwenden. Als erledigt gilt die Aufgabe, wenn die Konfiguration beide Einstellungen aktiviert und die bestehenden Dependabot-Regeln beibehält; im Issue wird darauf hingewiesen, dass ein Maintainer möglicherweise der Änderung der Repository-Einstellungen zustimmen muss.

Vom Indexierungsmodell aus dem Issue-Text verfasst.

Beschreibung

Search before asking

  • I had searched in the issues and found no similar feature requirement.

Use case

.github/dependabot.yml (since #9089) only configures version updates.
For Go, those only cover direct dependencies; // indirect modules are never
bumped. Security fixes in indirect modules therefore go unnoticed upstream.

Example: github.com/go-jose/go-jose/v4 (indirect, via coreos/go-oidc/v3
→ helpers/oidchelper) is affected by GHSA-mgcc-cww5-fp2q
(CVE-2026-116587, high), published 2026-10-14. The weekly go-minor-patch
group (#9268) does not include it. My fork has Dependabot security
updates enabled and got a PR for it on 2026-10-28; apache/devlake did
not. I opened #9278 for this one manually.

Description

Would the maintainers consider enabling Dependabot alerts and security
updates for this repository? For ASF repositories this is controlled by
.asf.yaml:

github:
  dependabot_alerts: true
  dependabot_updates: true

Security-update PRs follow the existing commit-message prefix
(build(deps)) and the ignore rules in .github/dependabot.yml. They only
appear when an advisory affects a dependency, so the additional PR volume
should be low.

I can open a PR for the .asf.yaml change if you would like that. Since
it changes repository settings, I would rather ask first.

Related issues

#9089

Are you willing to submit a PR?

  • Yes I am willing to submit a PR!

Code of Conduct

Vorherrschende Sprache
Go
Sterne
3.2k
Forks
832
Ø Merge
2 T. 6 Std.
Gemergte PRs (30 T.)
62

Entwicklungsumgebung

In Codespaces öffnen

Startet den Dev-Container des Projekts im Browser, mit Ihrem eigenen GitHub-Konto.

  • Kein Dockerfile und keine Docker-Compose-Datei
  • Hat eine Pull-Request-Vorlage
  • Kein Beitragsleitfaden

Erste Schritte

  1. Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
  2. Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
  3. Forken Sie das Repository und arbeiten Sie in einem Branch.
  4. Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.

Mehr aus apache/devlake

Alle Issues in apache/devlake

Ähnliche Issues

Weitere Issues zu Go

Neue Issues direkt in Ihr Postfach

Eine kurze Übersicht über anfängerfreundliche GitHub-Issues.