如何为Dependabot提供待检查的依赖项列表？

指定待检查依赖项列表的方法 #

目前Dependabot没有直接提供“注入待检查依赖列表”的功能，但可以通过以下两种方式间接实现：

• 反向筛选（通过ignore规则）：在Dependabot配置文件中，先忽略所有依赖，再排除掉需要检查的目标依赖，变相实现只关注指定列表。示例配置：

version: 2
updates:
  - package-ecosystem: "npm"
    directory: "/"
    ignore:
      - dependency-name: "*"
        exclude:
          - "lodash"
          - "react"

• 限定扫描范围：通过配置directory字段，指定Dependabot只扫描特定目录下的依赖文件，从而缩小检查的依赖范围。如果你的目标依赖集中在某个文件或目录，这种方式更直接：

version: 2
updates:
  - package-ecosystem: "npm"
    directory: "/packages/frontend"

自定义包管理器的实现方式 #

Dependabot支持通过以下两种途径适配自定义包管理器：

• 自定义Dependabot脚本：基于Dependabot的核心Ruby库，编写自定义逻辑来解析私有或小众包管理器的依赖文件格式，生成更新PR。这种方式灵活性最高，但需要具备Ruby开发能力，且需要自行维护脚本。
• 使用generic生态系统：Dependabot提供了generic包生态系统，允许你定义自定义的依赖更新规则，适配非官方支持的包管理器。你需要指定依赖文件名、版本号规则等参数，示例配置：

version: 2
updates:
  - package-ecosystem: "generic"
    directory: "/"
    schedule:
      interval: "daily"
    allow:
      - dependency-type: "all"
    file-name: "custom-deps.txt"
    versioning-scheme: "semver"

注意：这种方式要求你的依赖文件格式能被generic生态系统正确识别，若格式特殊，可能需要配合预处理脚本转换为可解析的格式。

内容的提问来源于stack exchange，提问作者parsley72