How Dependabot Actually Works
4 months ago
- #dependabot
- #dependency-management
- #open-source
- GitHub、GitLab和Gitea都提供依赖项追踪与自动更新功能，但高级或闭源特性占主导地位
- 作为GitHub依赖工具链的核心组件，MIT协议开源的dependabot-core采用Ruby编写，为开源替代方案提供了起点
- Dependabot并非机器人，而是无状态的Ruby库，其协调与状态跟踪由GitHub专有基础设施处理
- 2024年5月GitHub将dependabot-core转为MIT许可，但调度协调模块仍保持闭源
- dependabot-core代码库支持25+个命名方式各异的包生态系统，与PURL等标准存在差异
- 每个生态系统在dependabot-core中需实现四个核心类：FileFetcher、FileParser、UpdateChecker和FileUpdater
- dependabot-core通过调用原生包管理器执行操作，同时捆绑多个版本的Python/npm等工具
- 其npm生态集成包含兼容性补丁与分支代码，例如维护了Yarn 1.x的分支版本
- Bundler组件被大量猴子补丁改造，以处理SSH URL、$LOAD_PATH和Ruby版本元数据
- 测试套件包含虚构的'silent'包生态系统，实现不依赖真实注册表的测试
- NuGet集成直接将NuGet.Client仓库作为git子模块引入
- dependabot-core采用无状态设计，每次运行所需上下文都需通过任务定义传递
- GitHub专有基础设施负责调度、PR状态跟踪、速率限制和CVE匹配等职能
- 开源项目dependabot-gitlab展示了基于PostgreSQL的GitLab协调器实现
- 当前轮询模式存在优化空间，事件驱动机制可减少不必要的注册表查询
- 事件驱动方案需构建依赖项索引、注册表监听器和webhook接收器等组件
- Renovate采用相似架构，其CLI开源但调度器与协调服务闭源
- 核心挑战在于围绕dependabot-core构建开源的事件驱动协调系统