Hacktoberfest 2026: những issue maintainer đã đánh dấu cho tháng Mười, đang mở và phù hợp người mới. Xem issue Hacktoberfest

[Feature][Build] Enable Dependabot security updates via .asf.yaml

Đang mở Phù hợp với người mới
  • Có gì không ổn?
#9,279 0 bình luận 0 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 2 ngày

Chưa có ai nhận issue này.

Đánh giá

Độ khó
2/5
Thời gian dự kiến
1-3 giờ
Mức phù hợp với người mới
60/100
Loại issue
Tính năng
Độ rõ ràng
Đặc tả rõ ràng
Mức độ hoạt động
Sôi nổi
Công nghệ
github, github-actions, go
Lĩnh vực
devops, security

Hướng nghiên cứu

Đọc cấu hình .asf.yaml của repository và tệp .github/dependabot.yml, sau đó kiểm tra cách các thiết lập repository ASF sử dụng dependabot_alerts và dependabot_updates. Công việc được xem là hoàn tất khi cấu hình bật cả hai thiết lập và giữ nguyên các quy tắc Dependabot hiện có; issue lưu ý rằng maintainer có thể cần phê duyệt việc thay đổi thiết lập repository.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

Search before asking

  • I had searched in the issues and found no similar feature requirement.

Use case

.github/dependabot.yml (since #9089) only configures version updates.
For Go, those only cover direct dependencies; // indirect modules are never
bumped. Security fixes in indirect modules therefore go unnoticed upstream.

Example: github.com/go-jose/go-jose/v4 (indirect, via coreos/go-oidc/v3
→ helpers/oidchelper) is affected by GHSA-mgcc-cww5-fp2q
(CVE-2026-116587, high), published 2026-10-14. The weekly go-minor-patch
group (#9268) does not include it. My fork has Dependabot security
updates enabled and got a PR for it on 2026-10-28; apache/devlake did
not. I opened #9278 for this one manually.

Description

Would the maintainers consider enabling Dependabot alerts and security
updates for this repository? For ASF repositories this is controlled by
.asf.yaml:

github:
  dependabot_alerts: true
  dependabot_updates: true

Security-update PRs follow the existing commit-message prefix
(build(deps)) and the ignore rules in .github/dependabot.yml. They only
appear when an advisory affects a dependency, so the additional PR volume
should be low.

I can open a PR for the .asf.yaml change if you would like that. Since
it changes repository settings, I would rather ask first.

Related issues

#9089

Are you willing to submit a PR?

  • Yes I am willing to submit a PR!

Code of Conduct

Ngôn ngữ chính
Go
Star
3.2k
Fork
830
Merge trung bình
2 ngày 12 giờ
Pull request đã merge (30 ngày)
61

Chuẩn bị môi trường

Mở trong Codespaces

Khởi chạy dev container của dự án ngay trên trình duyệt, bằng tài khoản GitHub của bạn.

  • Không có Dockerfile hay tệp Docker Compose
  • Có mẫu pull request
  • Không có hướng dẫn đóng góp

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của apache/devlake

Tất cả issue của apache/devlake

Issue tương tự

Thêm issue về Go

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.