Fallout-build/Fallout

Add Dependabot (or Renovate) for dependency updates

Fermée

#6 ouverte le 18 mai 2026

Voir sur GitHubGuide contributeur
 (1 commentaire) (0 réaction) (0 personne assignée)C# (17 forks)github user discovery
good first issuetarget/2026target/vCurrent

Métriques du dépôt

Stars
 (133 étoiles)
Métriques de merge PR
 (Merge moyen 2j 15h) (63 PRs mergées en 30 j)

Description

Why

Part of the enterprise-grade supply-chain story. Manual NuGet dependency tracking is a non-starter for a project with ~30 direct deps + hundreds of transitives, and the recent CVE-2026-33116 / Scriban incident showed vulnerable deps land on develop and sit until someone notices.

Scope

  • Decide: Dependabot vs Renovate. Dependabot is simpler and GitHub-native; Renovate is more powerful (grouping, schedule, custom managers) but needs an app install. Default: Dependabot for speed-to-value; revisit Renovate if grouping/scheduling becomes a problem.
  • Configure for: nuget (Directory.Packages.props), github-actions (.github/workflows/*.yml), and the dotnet SDK version (global.json).
  • Schedule: weekly bundled PRs by ecosystem; daily for security advisories.
  • Auto-merge: not initially. Triage manually until the CI release pipeline is trustworthy.

Done when

  • .github/dependabot.yml (or renovate.json) committed
  • First batch of update PRs landed
  • Decision documented in CLAUDE.md / docs

Related: enterprise CI/CD positioning.

Guide contributeur

Direction de recherche
Configurez le fichier de configuration de Dependabot selon les préférences de l'issue : utilisez Dependabot pour NuGet et GitHub Actions, planifiez des PR groupés hebdomadaires et des mises à jour de sécurité quotidiennes. Documentez la décision dans CLAUDE.md. Les contributeurs débutants peuvent commencer par lire l'issue et vérifier les fichiers CI existants.
Stack technique
csharpgithub actions
Domaine
devopsbuild system
Type d'issue
Maintenance
DifficultéDifficulté estimée pour un nouveau contributeur, de 1 pour un très petit changement à 5 pour un travail expert.
2
Temps estiméFourchette de temps approximative pour investiguer, implémenter, tester et préparer une pull request.
1-3 heures
Statut d'activitéDisponibilité apparente de l'issue : fraîche, active, ancienne, bloquée ou en attente d'un mainteneur.
Récente
ClartéClarté avec laquelle l'issue explique le changement attendu, les critères d'acceptation et la prochaine étape.
Claire
Prérequis
Git
Accessibilité débutantScore de 1 à 100 estimant l'accessibilité de cette issue pour un premier contributeur.
75