Felsökning av uppdateringar av beroenden

Ingen pull request med säkerhetsfix

Vad du ser	Varför
Ingen släppt version åtgärdar alla öppna säkerhetsmeddelanden	Det finns ingen fix att föreslå än. Fyndet förblir öppet.
Ekosystemet stöds inte	Fyndet finns i ett ekosystem som säkerhetsfixar inte täcker än; se Ekosystem som stöds.
Manifestet stöds inte	Fyndet finns i ett bygge som säkerhetsfixar inte kan ändra, till exempel Ivy eller sbt.
Från en SBOM	Fyndet kommer från en uppladdad SBOM, inte från en fil i repot.
Kräver en ny Go-version	Fyndet finns i Gos standardbibliotek eller verktygskedja.
Väntar på versionsåldern	Den åtgärdade versionen är nyare än din Versionsålder (3 dagar om du inte har ändrat den under Versionsålder), och Renovate håller tillbaka den. Konsolen och API:t (`release_age_days` i fyndets `autofix`-objekt) anger antalet dagar. Spärren hoppas bara över när fixen gäller en känd utnyttjad sårbarhet. Begär igen när versionen är tillräckligt gammal. Begäranden från före 2026-10-13 visar “Ingen PR än: för ny”.
Ingen PR: inget att ändra	Renovate hittade inget att ändra. Ett transitivt paket i npm, pnpm, Yarn 1, uv, Poetry eller Gradle låses automatiskt inom ungefär tio minuter, och ett Maven-paket med Lås som transitiv; se Transitiva beroenden. Kontrollera annars att repots version och den åtgärdade versionen är de som fyndet anger.
Ingen PR: manifestfilen kan inte läsas	Renovate kunde inte tolka det manifest som konsolen anger (dess JSON, YAML, TOML eller XML är inte giltig), så det läste inga beroenden från det. Rätta filens syntax och begär fixen igen. I API:t är begärans `reason` `manifest_unparseable`, och `unparseable_manifests` listar filerna.
PR stängd: utanför omfånget	Renovates ändring rörde mer än manifestet och låsfilen, eller flyttade paket i låsfilen till ett annat index, så fremforge stängde den.
PR stängd: låsfilen misslyckades	Låsfilen kunde inte uppdateras (av Renovate, eller för Gradle av jobbet i din CI, vars körning är länkad), så pull requesten skulle inte ha byggt. fremforge stängde den. Åtgärda orsaken och försök igen.
PR stängd: delad version	Versionen är en property eller en katalogpost som andra beroenden också läser. Höj den själv; se delade versioner.

Säkerhetsfixar föreslås aldrig för fynd av skadlig kod, fynd från spärrlistor, Gos standardbibliotek eller fynd som tagits upp i en pull request.

Varje avslag på en begäran via API:t har en reason och en type som du kan slå upp under API-fel: security-fix-<reason> på POST /orgs/{org}/dependency-updates/security-fixes/requests, autofix-<reason> på de utfasade sökvägarna.

Några fler orsaker:

Repot är arkiverat eller en spegling (repo_archived): det tar inte emot pull requests.
Säkerhetsfixar är avstängda (disabled): läget är Av, eller en gräns är 0.
Repot har valts bort från uppdateringar av beroenden (repo_opted_out).
En gräns har nåtts (repo_limit, org_daily_limit): se Gränser.

Versionsuppdateringar

Mina pull requests med versionsuppdateringar öppnas inte

Kontrollera först: körningarna under Aktivitet på sidan Uppdateringar av beroenden. Om körningarna har status ok men prs_opened: 0 har dina repon verkligen inget att uppdatera (eller så filtrerar din renovate.json bort allt).
Boten har förlorat skrivåtkomst: det löses genom att aktivera funktionen igen. Inaktivera och aktivera sedan igen; boten skapas på nytt med en ny token.
Hastighetsbegränsade PR:er: Renovates prHourlyLimit är som standard 2 PR:er i timmen. Höj värdet i din konfiguration om det behövs.

En PR är fel eller borde inte ha öppnats

Lägg till paketet i ignoreringslistan i din renovate.json:

{
  "packageRules": [
    {
      "matchPackageNames": ["the-thing-i-dont-want-bumped"],
      "enabled": false
    }
  ]
}

Renovate tar med ändringen vid nästa körning.

En körning misslyckades

Öppna körningens Feldetaljer under Aktivitet. De flesta fel är tillfälliga (en nätverksstörning mot npm-registret; de löser sig automatiskt vid nästa omgång).
Om ett visst repo misslyckas gång på gång, kontrollera om botanvändaren har åtkomst. När du aktiverar funktionen igen får boten skrivåtkomst på nytt.

“Some dependencies could not be looked up”

Det betyder att Renovate inte kunde nå ett privat register för att hitta versioner. Du behöver inte göra något för:

Publika paket: de slås upp i de publika registren automatiskt, via fremforges proxy för utgående trafik.
Din egen organisations paketregister i fremforge: din Renovate-bot är redan autentiserad mot det.

Du behöver bara agera när ett repo är beroende av ett externt privat register som vi inte kan nå åt dig: GitHub Packages, privata paket på npmjs.com, en privat Artifactory/Nexus eller ett privat Docker-register.

Lägg till en läsbehörighet för det under Privata register.

Merge