Move the Dependabot alert sweep from the nonexistent PROJECT_TOKEN to the GitHub App token
维护者通常 1 天内回复
还没有人认领这个 Issue。
评估
调研方向
Start with .github/workflows/dependabot-alerts.yml around line 103 and the related references in AGENTS.md; confirm the GitHub App from #2544 is available before changing the token flow. Check the workflow's fallback and run verify:action-pins, then validate that a test alert is both filed and placed on board #28 at Todo/High, while missing App secrets still produce the triage hand-off.
由索引模型根据 Issue 内容生成。
描述
Problem
.github/workflows/dependabot-alerts.yml (line 103) passes secrets.PROJECT_TOKEN to the sweep, so that it can place each filed issue on board #28 at Todo / High. That secret has never existed, so every run degrades to filing a labeled, milestoned issue that waits for manual /issue-triage.
Change
Once the GitHub App exists (#2544), switch the workflow to it:
- Add an
actions/create-github-app-tokenstep, SHA-pinned (verify:action-pins, #2484), that mints an installation token from the App id and private key secrets. - Pass that token to the sweep in place of
PROJECT_TOKEN, and delete thePROJECT_TOKENpath and its references in the workflow comments andAGENTS.md. - Keep the degrade-to-triage fallback, so a run with the secret missing (a fork, for example) still files issues and stays green.
- Consider moving the alert read to the App as well (Dependabot alerts: read) so the sweep runs under one identity. The workflow's
vulnerability-alerts: readalready works, so this is optional.
Acceptance
- A scheduled or dispatched run files a test alert's issue and boards it at
Todo/Highon #28 - With the App secrets absent, the run still files the issue and logs the triage hand-off
-
verify:action-pinspasses, and noPROJECT_TOKENreference remains
Blocked on
#2544 (the GitHub App). Part of tracker #2543.
- 主要语言
- TypeScript
- 星标
- 11.1k
- 派生
- 1.5k
- 平均合并
- 4 小时 4 分钟
- 30 天内合并 PR
- 170
环境准备
- 提供 Dockerfile 或 Docker Compose 文件
- 有 Pull Request 模板
- 阅读贡献指南
从这里开始
- 先读完整个 Issue，再读项目的贡献指南。
- 在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
- Fork 仓库，在一个分支上完成修改。
- 提交 Pull Request，并在描述里引用这个 Issue 编号。
modelcontextprotocol/inspector 的其他 Issue
-
chore v2
难度 4/5 3-5 天 新手友好度 48/100
modelcontextprotocol/inspector#2715 ·
维护者通常 1 天内回复
-
enhancement v2
难度 5/5 一周以上 新手友好度 35/100
modelcontextprotocol/inspector#2705 ·
维护者通常 1 天内回复
-
bug v2
难度 5/5 一周以上 新手友好度 35/100
modelcontextprotocol/inspector#2672 · 1 条评论 ·
维护者通常 1 天内回复
-
docs: record retroactive DCO signoffs for the 10 unsigned commits on v2/main可能已有人在做 @olaservo 于 7 天前认领。 未关闭documentation v2
modelcontextprotocol/inspector#2617 · 2 条评论 · 已指派 2 人 ·
维护者通常 1 天内回复
-
blocked chore v2
难度 4/5 3-5 天 新手友好度 48/100
modelcontextprotocol/inspector#2548 · 1 条评论 ·
维护者通常 1 天内回复
查看 modelcontextprotocol/inspector 的全部 Issue
相似的 Issue
-
Add: VIVE TV未关闭approved check:passed streams:add
难度 1/5 1 小时以内 新手友好度 72/100
维护者通常 1 天内回复
-
bug needs-triage
难度 2/5 1-3 小时 新手友好度 62/100
Fission-AI/OpenSpec#2084 ·
维护者通常 2 天内回复
-
Contrib indemnité de départ à la retraite : faire le pont avec le simulateur sur la page générique未关闭P1
难度 2/5 1-3 小时 新手友好度 62/100
SocialGouv/code-du-travail-numerique#7561 ·
维护者通常 1 天内回复
-
beginner bug
难度 1/5 1 小时以内 新手友好度 88/100
hiero-ledger/hiero-sdk-js#4517 ·
维护者通常 1 天内回复
-
难度 2/5 1-3 小时 新手友好度 85/100
kubernetes-sigs/headlamp#7950 ·
维护者通常 3 天内回复