Hacktoberfest 2026: los issues que los mantenedores marcaron para octubre, abiertos y aptos para principiantes. Explorar issues de Hacktoberfest

[Feature][Build] Enable Dependabot security updates via .asf.yaml

Abierto Apto para principiantes
  • ¿Algo no está bien?
#9,279 0 comentarios 0 reacciones 0 asignados Ver en GitHub

Los mantenedores suelen responder en 2 días

Nadie ha tomado este issue todavía.

Evaluación

Dificultad
2/5
Tiempo estimado
1-3 horas
Aptitud para principiantes
60/100
Tipo de issue
Nueva funcionalidad
Claridad
Bien especificado
Estado de actividad
Activo
Stack tecnológico
github, github-actions, go
Área
devops, security

Línea de trabajo

Lee la configuración .asf.yaml del repositorio y .github/dependabot.yml; después, comprueba cómo usan las opciones de configuración del repositorio ASF dependabot_alerts y dependabot_updates. Se considera terminado cuando la configuración habilita ambas opciones y conserva las reglas de Dependabot existentes; el issue indica que quizá un maintainer tenga que aprobar el cambio de la configuración del repositorio.

Escrito por el modelo de indexación a partir del texto del issue.

Descripción

Search before asking

  • I had searched in the issues and found no similar feature requirement.

Use case

.github/dependabot.yml (since #9089) only configures version updates.
For Go, those only cover direct dependencies; // indirect modules are never
bumped. Security fixes in indirect modules therefore go unnoticed upstream.

Example: github.com/go-jose/go-jose/v4 (indirect, via coreos/go-oidc/v3
→ helpers/oidchelper) is affected by GHSA-mgcc-cww5-fp2q
(CVE-2026-116587, high), published 2026-10-14. The weekly go-minor-patch
group (#9268) does not include it. My fork has Dependabot security
updates enabled and got a PR for it on 2026-10-28; apache/devlake did
not. I opened #9278 for this one manually.

Description

Would the maintainers consider enabling Dependabot alerts and security
updates for this repository? For ASF repositories this is controlled by
.asf.yaml:

github:
  dependabot_alerts: true
  dependabot_updates: true

Security-update PRs follow the existing commit-message prefix
(build(deps)) and the ignore rules in .github/dependabot.yml. They only
appear when an advisory affects a dependency, so the additional PR volume
should be low.

I can open a PR for the .asf.yaml change if you would like that. Since
it changes repository settings, I would rather ask first.

Related issues

#9089

Are you willing to submit a PR?

  • Yes I am willing to submit a PR!

Code of Conduct

Lenguaje dominante
Go
Estrellas
3.2k
Forks
830
Merge medio
2 d 12 h
PR fusionados (30 d)
61

Preparar el entorno

Abrir en Codespaces

Inicia el contenedor de desarrollo del proyecto en tu navegador, con tu propia cuenta de GitHub.

  • Sin Dockerfile ni archivo de Docker Compose
  • Tiene una plantilla de pull request
  • Sin guía de contribución

Primeros pasos

  1. Lee el issue completo y luego la guía de contribución del proyecto.
  2. Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
  3. Haz un fork del repositorio y trabaja en una rama.
  4. Abre un pull request que haga referencia al número del issue.

Más de apache/devlake

Todos los issues de apache/devlake

Issues similares

Más issues de Go

Recibe los nuevos issues en tu correo

Un resumen breve de issues de GitHub para principiantes.