Dependabot version updates introduce default package cooldown
2 hours ago
- #Dependabot
- #Supply Chain Security
- #Version Updates
- Dependabot 现在为版本更新引入了默认 3 天的冷却期，即在开启 PR 之前需要等待一段时间。
- 冷却期的目的是通过留出时间来检测受损或有问题的版本，从而缓解供应链攻击。
- 安全更新不会被延迟，对于关键修复仍将立即开启。
- 用户可以通过 .github/dependabot.yml 文件中的 'cooldown' 选项来自定义或选择退出冷却期。
- 此默认设置适用于 github.com 上所有受支持的生态系统，并将包含在 GitHub Enterprise Server 3.23 中。