[Feature][Build] Enable Dependabot security updates via .asf.yaml
メンテナーはふだん 2 日以内に返信
まだ誰も着手していません。
評価
- 難易度
- 2/5
- 見積もり時間
- 1〜3時間
- 初心者へのやさしさ
- 60/100
調査の方向性
リポジトリの設定ファイル .asf.yaml と .github/dependabot.yml を読み、ASF リポジトリの設定で dependabot_alerts と dependabot_updates がどのように使われているか確認してください。設定で両方を有効にし、既存の Dependabot ルールを維持できれば完了です。issue には、リポジトリ設定の変更について maintainer の承認が必要になる場合があると記されています。
索引モデルが issue の本文から書いたものです。
説明
Search before asking
- I had searched in the issues and found no similar feature requirement.
Use case
.github/dependabot.yml (since #9089) only configures version updates.
For Go, those only cover direct dependencies; // indirect modules are never
bumped. Security fixes in indirect modules therefore go unnoticed upstream.
Example: github.com/go-jose/go-jose/v4 (indirect, via coreos/go-oidc/v3
→ helpers/oidchelper) is affected by GHSA-mgcc-cww5-fp2q
(CVE-2026-116587, high), published 2026-10-14. The weekly go-minor-patch
group (#9268) does not include it. My fork has Dependabot security
updates enabled and got a PR for it on 2026-10-28; apache/devlake did
not. I opened #9278 for this one manually.
Description
Would the maintainers consider enabling Dependabot alerts and security
updates for this repository? For ASF repositories this is controlled by
.asf.yaml:
github:
dependabot_alerts: true
dependabot_updates: true
Security-update PRs follow the existing commit-message prefix
(build(deps)) and the ignore rules in .github/dependabot.yml. They only
appear when an advisory affects a dependency, so the additional PR volume
should be low.
I can open a PR for the .asf.yaml change if you would like that. Since
it changes repository settings, I would rather ask first.
Related issues
#9089
Are you willing to submit a PR?
- Yes I am willing to submit a PR!
Code of Conduct
- I agree to follow this project's Code of Conduct
- 主要言語
- Go
- スター
- 3.2k
- フォーク
- 832
- 平均マージ
- 2日 6時間
- マージ済み PR（30日）
- 62
環境構築
このプロジェクトの開発コンテナを、あなたの GitHub アカウントでブラウザ上に起動します。
- Dockerfile・Docker Compose ファイルなし
- プルリクエストのテンプレートあり
- コントリビューションガイドなし
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
apache/devlake のほかの issue
-
type/bug
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
メンテナーはふだん 2 日以内に返信
-
[Bug][claude_code] Incremental collection stops after the first run対応中かも @clementsen が今日担当しました。 オープン
難易度 3/5 1〜2日 初心者へのやさしさ 32/100
メンテナーはふだん 2 日以内に返信
-
type/bug
難易度 3/5 半日 初心者へのやさしさ 73/100
メンテナーはふだん 2 日以内に返信
-
[Refactor][Build] Build the core and all plugins into a single binary by default対応中かも このイシューにリンクされたプルリクエストがオープン中、またはマージ済みです。 オープンcomponent/plugins type/refactor
難易度 5/5 1週間以上 初心者へのやさしさ 25/100
apache/devlake#9276 · コメント 1 件 ·
メンテナーはふだん 2 日以内に返信
-
[Feature][Plugin] Add a GLPI data source plugin対応中かも @rabelenda が 2 日前に担当しました。 オープンtype/feature-request
難易度 5/5 1週間以上 初心者へのやさしさ 38/100
apache/devlake#9273 · リアクション 1 件 ·
メンテナーはふだん 2 日以内に返信
似ている issue
-
docs(prompts): IF BLOCKED workflow-scope branch says to comment on the issue on jira/local trackersオープンagent-butler-finding bug
難易度 2/5 1〜3時間 初心者へのやさしさ 77/100
jordansmall/spindrift#6238 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 85/100
microcks/microcks-cli#608 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
-
bug from-studio
難易度 2/5 1〜3時間 初心者へのやさしさ 65/100
esengine/DeepSeek-Reasonix#14868 ·
メンテナーはふだん 1 日以内に返信
-
Install notes print "Camunda REST API: https://" without a host when global.host is set対応中かも @irisfield が今日担当しました。 オープン
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
camunda/camunda-platform-helm#7790 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 84/100
wso2/agent-manager#2220 ·
メンテナーはふだん 1 日以内に返信