Opdateringer af afhængigheder
Opdateringer af afhængigheder holder dine afhængigheder opdaterede og retter de sårbare. Versionsopdateringer kommer efter din tidsplan. Sikkerhedsrettelser kommer, når et fund kræver en, med én pull request pr. pakke, og du bestemmer, om de venter på din gennemgang eller merger sig selv, når deres tjek består.
I konsollen er det én side: Sikkerhed › Ret › Opdateringer af afhængigheder. Byg og udrul › Opdateringer af afhængigheder åbner den samme side.
To spor
| Spor | Drives af | Hvad det åbner |
|---|---|---|
| Sikkerhedsrettelser | Dine åbne fund i afhængigheder og container-images | Én pull request pr. sårbar pakke eller pr. base-image, til den laveste version, der retter alle åbne advisories. Kendt udnyttede først, derefter nåbare, derefter efter alvorlighed |
| Versionsopdateringer | Din renovate.json og tidsplan | Hostet Renovates rutineopdateringer: gruppering, automerge for patch og minor, godkendelse af major-versioner, private registries |
Hvordan hvert spors pull requests merges, herunder merge-vinduet og release-frysningen, står under Merging. Når en pull request ikke dukker op, så se Fejlfinding.
Én bot
Begge spor åbner deres pull requests som din organisations afhængighedsbot, <org>-fremforge-bot-deps. fremforge opretter den, når du slår Versionsopdateringer til eller bestiller din første sikkerhedsrettelse, holder dens token, roterer det og fjerner botten, når intet af sporene har brug for den. Den skriver kun til din organisations repositorier.
AI-rettelse til SAST-fund er en separat funktion med sin egen bot, <org>-fremforge-bot-autofix, og er ikke en del af Opdateringer af afhængigheder.
Siden
Siden har fire dele:
- Sikkerhedsrettelser: hvad sporet gør nu, og dets indstillinger: hvornår rettelses-pull requests åbnes, om de venter på gennemgang, hvor mange der må være åbne, udgivelsesalderen og hvilke repositorier det dækker.
- Versionsopdateringer: hostet Renovates politik, tidsplan, merge-vindue, PR-grænser, de major-opdateringer, der venter på din godkendelse, de åbne afhængigheds-pull requests og private registries.
- Repositorier: hvilke repositorier der deltager, og fravalg pr. repository.
- Aktivitet: seneste Renovate-kørsler og seneste bestillinger af sikkerhedsrettelser med deres pull requests.
Sikkerhedsrettelser uden Versionsopdateringer
Sikkerhedsrettelser kræver ikke Versionsopdateringer. Den første bestilling af en rettelse, eller når du gemmer en automatisk tilstand, opretter afhængighedsbotten med Versionsopdateringer slået fra. Slår du Versionsopdateringer fra, beholdes botten, så længe Sikkerhedsrettelser er automatiske, og ellers fjernes den.
Hvem åbner sikkerheds-pull requests
Hostet Renovates egne pull requests for sårbarhedsadvarsler betjener stadig en organisation, indtil sporet Sikkerhedsrettelser overtager dér. Efter skiftet åbner Renovate kun versionsopdateringer, og hver rettelse foreslås én gang. For kunder foretages skiftet indtil videre på anmodning. Se Overtagelse fra Renovate.
API
Alt på siden findes i API’et under /_app/api/v1/orgs/{org}/dependency-updates med scopes dependency-updates:read og dependency-updates:write:
| Hvad | Endpoint |
|---|---|
| Begge spor, tilmelding og fravalg | GET /orgs/{org}/dependency-updates |
| Indstillinger for Sikkerhedsrettelser | GET og PUT /orgs/{org}/dependency-updates/security-fixes/settings |
| Hvem åbner sikkerheds-pull requests | GET og PUT /orgs/{org}/dependency-updates/security-fixes/lane |
| Bestillinger af sikkerhedsrettelser | GET og POST /orgs/{org}/dependency-updates/security-fixes/requests |
| Indstillinger for Versionsopdateringer | GET og PUT /orgs/{org}/dependency-updates/version-updates/settings |
| Kørsler, kør nu, tilmeld, slå fra, fravalg, godkend en major-version | /orgs/{org}/dependency-updates/runs, /run-now, /enrol, /disable, /repo-optout, /repo-optin, /approve-major |
De gamle navne virker fortsat indtil 2027-10-15: scopes renovate:read og renovate:write er aliasser for de nye, og de udfasede stier står sammen med deres afløsere under Udfaset API.