引用 GitHub Changeling
摘要
GitHub 的 Dependabot 现在默认在开启版本更新拉取请求之前有一个三天的冷却期,无需配置。
暂无内容
查看缓存全文
缓存时间: 2026/07/15 00:17
# 来自 GitHub Changeling 的引用
来源:https://simonwillison.net/2026/Jul/14/github-changeling/
2026年7月14日
> Dependabot 现在会等待新版本在其注册表中可用至少三天后,再打开版本更新拉取请求。这一冷却期现已成为默认设置,无需额外配置。
——GitHub Changeling (https://github.blog/changelog/2026-07-14-dependabot-version-updates-introduce-default-package-cooldown/),拥抱依赖冷却期 (https://simonwillison.net/tags/dependency-cooldowns/)
相似文章
@github: Dependabot 现在会在非安全版本更新的拉取请求前等待三天,让扫描器有时间捕获被污染的版本……
GitHub 的 Dependabot 现在对非安全版本更新实施三天的冷却期,让安全扫描器有时间检测被污染的版本发布,从而帮助缓解供应链攻击。
Dependabot 版本更新引入默认包冷却期
Dependabot 现在在打开版本更新 PR 前会等待三天,以降低供应链攻击的风险。安全更新仍然是即时的。
@github: 一打 Dependabot 拉取请求在周一早上出现,这就是重要更新被忽略的方式。在 Microsoft 的 GCToolkit 上,ro…
本文解释了如何配置 Dependabot 来对依赖更新进行分组,减少拉取请求噪音,同时保持安全性,以 Microsoft 的 GCToolkit 为例。
引用 David Crawshaw 的 prompt
Simon Willison 分享了 David Crawshaw 的 prompt 中的一段话,建议设置一个每晚运行的 cron 任务,拉取上游更改、变基本地更改,并验证软件是否正常工作。这体现了开源开发工具的理念。
@github:发起拉取请求比以往更简单,但每次审查仍需要人力。引入拉取请求限制:…
GitHub 引入拉取请求限制,允许维护者限制无写入权限的贡献者可打开的 PR 数量,并为信任的贡献者设置豁免列表。