Verwalten von Pull Requests für Abhängigkeitsupdates

Hinweis: Dein Websiteadministrator muss Dependabot updates für Ihre GitHub Enterprise Server-Instance einrichten, damit du dieses Feature verwenden kannst. Weitere Informationen findest du unter Aktivieren von Dependabot für dein Unternehmen.

Informationen zu Dependabot-Pull Requests

Dependabot löst Pull Requests zum Aktualisieren von Abhängigkeiten aus. Je nachdem, wie Dein Repository konfiguriert ist, kann Dependabot Pull Requests für Versionsupdates und/oder für Sicherheitsupdates auslösen. Du verwaltest diese Pull Requests auf dieselbe Weise wie alle anderen Pull Requests, aber es sind auch einige zusätzliche Befehle verfügbar. Weitere Informationen zum Aktivieren von Updates für Dependabot-Abhängigkeiten findest du unter Konfigurieren von Dependabot-Sicherheitsupdates und Konfigurieren von Versionsupdates von Dependabot.

Wenn Dependabot einen Pull Request auslöst, wirst du von deiner für das Repository ausgewählten Methode benachrichtigt. Jeder Pull Request enthält detaillierte Informationen zu der vorgeschlagenen Änderung, die vom Paket-Manager abgeleitet werden. Diese Pull Requests folgen den normalen Prüfungen und Tests, die in deinem Repository definiert sind.

Wenn du viele Abhängigkeiten verwalten musst, solltest du möglicherweise die Konfiguration für jeden Paket-Manager anpassen, sodass Pull Requests bestimmte Prüfer, Zuweisungen und Bezeichnungen haben. Weitere Informationen finden Sie unter "Anpassen von Abhängigkeitsupdates" und "Konfigurieren von Dependabot-Sicherheitsupdates".

Anzeigen von Dependabot-Pull Requests

Navigiere auf Ihre GitHub Enterprise Server-Instance zur Hauptseite des Repositorys.
Klicke unter dem Namen deines Repositorys auf -Pull Requests.
Alle Pull Requests für Sicherheits- oder Versionsupdates sind einfach zu identifizieren.
- Der Autor ist dependabot, das von Dependabot verwendete Bot-Konto.
- Standardmäßig haben sie die Bezeichnung dependencies.

Ändern der Rebase-Strategie für Dependabot-Pull Requests

Standardmäßig führt Dependabot automatisch Rebases für Pull Requests aus, um Konflikte zu lösen. Wenn Sie Mergekonflikte lieber manuell behandeln möchten, können Sie dies mithilfe der rebase-strategy-Option deaktivieren. Ausführliche Informationen findest du unter Konfigurationsoptionen für die Datei dependabot.yml.

Ermöglichen, dass Dependabot ein Rebase ausführt und einen Push über zusätzliche Commits erzwingt

Standardmäßig beendet Dependabot ein Rebase eines Pull Requests, sobald zusätzliche Commits daran gesendet wurden. Um Dependabot zu erlauben, einen Push über Commits zu erzwingen, die seinen Branches hinzugefügt wurden, füge eine der folgenden Zeichenfolgen ein: [dependabot skip], [skip dependabot], [dependabot-skip], oder [skip-dependabot], entweder in Klein- oder Großbuchstaben in die Commitnachricht ein.

Verwalten von Dependabot-Pull Requests mit Kommentarbefehlen

Dependabot reagiert auf einfache Befehle in Kommentaren. Jeder Pull Request enthält Details der Befehle, die du verwenden könntest, um den Pull Request zu verarbeiten (z. B. Mergen, Squashen, erneutes Öffnen, Schließen des Pull Requests oder Ausführen eines Rebase für den Pull Request) unter dem Abschnitt „Dependabot-Befehle und -Optionen“. Du sollst diese automatisch generierten Pull Requests so einfach wie möglich selektieren können.

Jeden der folgenden Befehle kannst du in einem Dependabot-Pull Request verwenden.

@dependabot cancel merge bricht einen zuvor angeforderten Merge ab.
@dependabot close schließt den Pull Request und verhindert, dass Dependabot diesen Pull Request erneut erstellt. Du kannst das gleiche Ergebnis erreichen, indem du den Pull Request manuell schließt.
@dependabot ignore this dependency schließt den Pull Request und verhindert, dass Dependabot weitere Pull Requests für diese Abhängigkeit erstellt (es sei denn, du öffnest den Pull Request erneut oder aktualisierst selbst auf die vorgeschlagene Version der Abhängigkeit).
@dependabot ignore this major version schließt den Pull Request und verhindert, dass Dependabot weitere Pull Requests für diese Hauptversion erstellt (es sei denn, du öffnest den Pull Request erneut oder aktualisierst selbst auf diese Hauptversion).
@dependabot ignore this minor version schließt den Pull Request und verhindert, dass Dependabot weitere Pull Requests für diese Hauptversion erstellt (es sei denn, du öffnest den Pull Request erneut oder aktualisierst selbst auf diese Nebenversion).
@dependabot merge mergt den Pull Request, sobald deine CI-Tests bestanden sind.
@dependabot rebase führt ein Rebase für den Pull Request aus.
@dependabot recreate erstellt den Pull Request neu und überschreibt dabei alle Änderungen, die an dem Pull Request vorgenommen wurden.
@dependabot reopen öffnet den Pull Request erneut, wenn der Pull Request geschlossen ist.
@dependabot squash and merge squasht und mergt den Pull Request, sobald deine CI-Tests bestanden sind.

Dependabot reagiert mit einem „Daumen nach oben“-Emoji, um den Befehl zu bestätigen, und kann mit einem Kommentar auf den Pull Request antworten. Während Dependabot in der Regel schnell reagiert, können einige Befehle mehrere Minuten dauern, wenn Dependabot andere Updates oder Befehle verarbeitet.

Wenn du einen der Befehle zum Ignorieren von Abhängigkeiten oder Versionen ausführst, speichert Dependabot die Einstellungen für das Repository zentral. Dies ist zwar eine schnelle Lösung, aber für Repositorys mit mehr als einem Mitwirkenden ist es besser, die zu ignorierenden Abhängigkeiten und Versionen explizit in der Konfigurationsdatei zu definieren. So können alle Mitwirkenden leicht erkennen, warum eine bestimmte Abhängigkeit nicht automatisch aktualisiert wird.

Weitere Informationen findest du unter Konfigurationsoptionen für die Datei dependabot.yml.