Uppdateringar av beroenden
Uppdateringar av beroenden håller dina beroenden aktuella och åtgärdar de sårbara. Versionsuppdateringar kommer enligt ditt schema. Säkerhetsfixar kommer när ett fynd kräver en, en pull request per paket, och du bestämmer om de ska vänta på din granskning eller mergas av sig själva när deras kontroller går igenom.
I konsolen är det en enda sida: Säkerhet › Åtgärda › Uppdateringar av beroenden. Bygg och driftsätt › Uppdateringar av beroenden öppnar samma sida.
Två spår
| Spår | Styrs av | Vad det öppnar |
|---|---|---|
| Säkerhetsfixar | Dina öppna fynd för beroenden och container-images | En pull request per sårbart paket, eller per bas-image, till den lägsta version som åtgärdar alla öppna säkerhetsmeddelanden. Ordnade med kända utnyttjade först, sedan nåbara, sedan efter allvarlighetsgrad |
| Versionsuppdateringar | Din renovate.json och ditt schema | Hostad Renovates rutinuppdateringar: gruppering, automerge för patch och minor, godkännande för major, privata registry |
Hur varje spårs pull requests mergas, inklusive merge-fönstret och release-frysningen, beskrivs under Merge. Om en pull request inte dyker upp, se Felsökning.
En bot
Båda spåren öppnar sina pull requests som organisationens beroendebot, <org>-fremforge-bot-deps. fremforge skapar den när du aktiverar Versionsuppdateringar eller gör din första begäran om säkerhetsfix, håller dess token, roterar den och tar bort boten när inget av spåren behöver den. Den skriver bara till din organisations repon.
AI-fix för SAST-fynd är en separat funktion med en egen bot, <org>-fremforge-bot-autofix, och ingår inte i Uppdateringar av beroenden.
Sidan
Sidan har fyra delar:
- Säkerhetsfixar: vad spåret gör just nu, och dess inställningar: när fix-pull requests öppnas, om de väntar på granskning, hur många som får vara öppna, release-ålder och vilka repon som omfattas.
- Versionsuppdateringar: hostad Renovates policy, schema, merge-fönster, gränser för pull requests, de major-uppdateringar som väntar på ditt godkännande, de öppna pull requests för beroenden och privata registry.
- Repon: vilka repon som deltar, och avregistrering per repo.
- Aktivitet: de senaste Renovate-körningarna och de senaste begärandena om säkerhetsfixar med deras pull requests.
Säkerhetsfixar utan Versionsuppdateringar
Säkerhetsfixar kräver inte Versionsuppdateringar. Den första fix-begäran, eller att du sparar ett automatiskt läge, skapar beroendeboten med Versionsuppdateringar avstängt. Stänger du av Versionsuppdateringar behålls boten så länge Säkerhetsfixar är automatiska, och tas annars bort.
Vem som öppnar säkerhets-pull requests
Hostad Renovates egna pull requests för sårbarhetsvarningar betjänar fortfarande en organisation tills spåret Säkerhetsfixar tar över där. Efter bytet öppnar Renovate bara versionsuppdateringar och varje fix föreslås en gång. För kunder görs bytet tills vidare på begäran. Se Ta över från Renovate.
API
Allt på sidan finns i API:t, under /_app/api/v1/orgs/{org}/dependency-updates, med scopen dependency-updates:read och dependency-updates:write:
| Vad | Endpoint |
|---|---|
| Båda spåren, registrering och avregistreringar | GET /orgs/{org}/dependency-updates |
| Inställningar för Säkerhetsfixar | GET och PUT /orgs/{org}/dependency-updates/security-fixes/settings |
| Vem som öppnar säkerhets-pull requests | GET och PUT /orgs/{org}/dependency-updates/security-fixes/lane |
| Begäranden om säkerhetsfixar | GET och POST /orgs/{org}/dependency-updates/security-fixes/requests |
| Inställningar för Versionsuppdateringar | GET och PUT /orgs/{org}/dependency-updates/version-updates/settings |
| Körningar, kör nu, registrera, stäng av, avregistreringar, godkänn en major | /orgs/{org}/dependency-updates/runs, /run-now, /enrol, /disable, /repo-optout, /repo-optin, /approve-major |
De äldre namnen fungerar till och med 2027-10-15: scopen renovate:read och renovate:write är alias för de nya, och de utfasade sökvägarna listas tillsammans med sina efterföljare under Utfasat API.