标签
本文解释了如何配置 Dependabot 来对依赖更新进行分组，减少拉取请求噪音，同时保持安全性，以 Microsoft 的 GCToolkit 为例。
GitHub 的 Dependabot 现在对非安全版本更新实施三天的冷却期，让安全扫描器有时间检测被污染的版本发布，从而帮助缓解供应链攻击。
Dependabot 现在在打开版本更新 PR 前会等待三天，以降低供应链攻击的风险。安全更新仍然是即时的。
作者详细描述了其 OpenClaw 代理 Francis 如何自动化处理一个开源项目中海量的 Dependabot 安全修复积压，从会话失败中恢复，并最终清理审计日志，证明了其代理设置的实际价值。