Merging

Hver pull request for en afhængighed venter enten på, at en person gennemgår og merger den, eller er sat til at merge sig selv, når dens påkrævede tjek består. Hvilken af delene afhænger af sporet, typen af opdatering og dine indstillinger.

Sikkerhedsrettelser: Hvornår rettelser merges

Sikkerhed › Ret › Opdateringer af afhængigheder › Sikkerhedsrettelser → Hvornår rettelser merges (merge i indstillingerne) har to værdier:

• Vent på gennemgang (review), standard. En person gennemgår og merger.
• Flet, når tjek består (when_green). Pull requesten sættes til at merge, når dens påkrævede tjek består.

Med Flet, når tjek består sætter fremforge en pull request med en sikkerhedsrettelse til at merge, når dens påkrævede tjek består:

• Aldrig for en rettelse, der krydser en major-version. Den venter altid på gennemgang.
• Aldrig under en release freeze.
• Uden for dit merge-vindue kun for en rettelse af en kendt udnyttet sårbarhed.
• Aldrig for en pakke med stor rækkevidde i en organisation, der selv har slået Flet, når tjek består til.

Pakker med stor rækkevidde

Omkring 30 pakker til godkendelse, kryptografi, databaser, ORM og cloud-KMS merger aldrig en sikkerhedsrettelse af sig selv i en organisation, der selv har slået Flet, når tjek består til; de rettelser venter på gennemgang. Organisationer, hvis Renovate-sikkerheds-pull requests mergede sig selv før 2026-10-14, blev flyttet til Flet, når tjek består med den adfærd bevaret: rettelser til de pakker merges også. Indstillingerne viser det som high_blast_radius_exempt: true.

Vent på gennemgang

Med Vent på gennemgang sættes intet til at merge. En automatisk merge, som fremforge eller botten har sat, annulleres; en, som en person har sat på pull requesten, lades i fred.

Hostet Renovates egne sikkerheds-pull requests

Den samme indstilling bestemmer over hostet Renovates egne sikkerheds-pull requests, så længe de stadig betjener organisationen (lane_owner: renovate): med Flet, når tjek består merger de sig selv ved grøn CI, som den tidligere kontakt Sikkerhedsopdateringer for automatisk merge gjorde. Alle organisationer, der havde den kontakt slået til, hvilket var standard for alle tilmeldte organisationer, blev flyttet til Flet, når tjek består den 2026-10-14, så deres Renovate-sikkerheds-pull requests blev ved med at merge, og intet ændrede sig for dem. Nye organisationer starter med Vent på gennemgang.

Organisationer, der blev flyttet den 2026-10-14

For en organisation, der blev flyttet til Flet, når tjek består den 2026-10-14 (high_blast_radius_exempt: true), venter pull requests med sikkerhedsrettelser, der åbnes ud fra et fund, ved et klik eller automatisk, på gennemgang, indtil organisationens Sikkerhedsrettelser overtager fra hostet Renovates egne sikkerheds-pull requests. Indtil da gælder indstillingen kun for de Renovate-pull requests, præcis som før. Overtagelsen er en separat kontakt, der registreres i revisionsloggen (se Overtagelse fra Renovate); derefter følger rettelses-pull requests Hvornår rettelser merges efter reglerne ovenfor, efterhånden som de erstatter Renovates.

En organisation, der selv slår Flet, når tjek består til, får det med det samme for rettelses-pull requests, mens pakkerne med stor rækkevidde overlades til gennemgang. Når sporet Sikkerhedsrettelser overtager, åbner Renovate kun versionsopdateringer.

Påkrævede godkendelser

En pull request, som en ejer af organisationen har sat til at merge, eller som en af fremforges systembotter som <org>-fremforge-bot-deps har åbnet, merges ved grønne tjek, også i et repository, der kræver en godkendende gennemgang. Flet, når tjek består merger altså virkelig uden en person i sådanne repositorier, som Renovates sikkerheds-pull requests har gjort indtil nu. Vælg Vent på gennemgang, hvis hver ændring af afhængigheder skal ses af en person.

Versionsopdateringer

Rutinemæssige opdateringer følger hostet Renovates niveauer:

• Patch-, pin- og digest-opdateringer merges automatisk ved grøn CI som standard (automerge_patch).
• Minor-opdateringer merges automatisk, hvis du slår det til (automerge_minor).
• Major-opdateringer venter på din godkendelse på Dependency Dashboard (major_approval).
• Omkring 30 pakker med stor rækkevidde merges aldrig automatisk ved en rutinemæssig opdatering.

Regler i din renovate.json anvendes efter denne politik. Se Versionsopdateringer.

Merge-vindue

En ejer kan begrænse, hvornår pull requests for afhængigheder sættes til at merge, som hele timer i UTC på valgte ugedage (merge_window i indstillingerne for Versionsopdateringer). Uden for vinduet sættes intet til at merge, og det, som botten har sat til at merge, annulleres, når vinduet lukker; det, en person har sat, lades i fred.

En sikkerhedsrettelse for en CVE, der er udnyttet i praksis, sættes til at merge uden for vinduet, så den merges, så snart dens tjek består. Det er kun vinduet, der springes over.

Release freeze

Et repository med et åbent issue med etiketten release-freeze er frosset. Intet sættes til at merge i det, heller ikke en rettelse af en kendt udnyttet sårbarhed, og et opslag, der mislykkes, tæller som frosset. Pull requests åbnes stadig, så rettelsen er klar, når frysningen ophører.