如何在Snyk.io自动生成的PR中更新yarn.lock？

Snyk的UI确实没有直接触发yarn install并同步相关文件的功能——它核心是检测依赖漏洞、生成更新package.json的PR，但不会自动处理依赖安装后产生的lock文件或其他衍生变更。

你提到的思路完全可行，需要通过GitHub Action补全这个流程，具体实现方式如下：

• 配置GitHub Action工作流，触发条件设为Snyk创建的PR被打开或同步时
• 在工作流中执行以下步骤：
  1. 拉取PR对应的分支代码
  2. 运行yarn install（针对monorepo可根据Yarn版本调整参数，比如Yarn 2+可用yarn install --immutable）
  3. 将生成的lock文件或其他变更提交回当前PR
• 通过检查PR作者是否为snyk-bot，确保只处理Snyk发起的PR

以下是一个简化的工作流示例：

name: Update Yarn Lock on Snyk PRs
on:
  pull_request:
    types: [opened, synchronize]

jobs:
  update-lockfile:
    runs-on: ubuntu-latest
    if: github.event.pull_request.user.login == 'snyk-bot'
    steps:
      - name: Checkout code
        uses: actions/checkout@v4
        with:
          ref: ${{ github.head_ref }}
          fetch-depth: 0

      - name: Set up Node.js
        uses: actions/setup-node@v4
        with:
          node-version: 20
          cache: 'yarn'

      - name: Install dependencies
        run: yarn install

      - name: Commit and push changes
        uses: stefanzweifel/git-auto-commit-action@v5
        with:
          commit_message: "Update yarn lock file after Snyk dependency update"
          branch: ${{ github.head_ref }}

这个工作流会自动在Snyk机器人创建的PR中执行依赖安装，把更新后的lock文件提交回PR，无需手动介入。如果你的monorepo有特殊配置（比如工作区、自定义Yarn命令），可根据实际情况调整yarn install的参数。

内容的提问来源于stack exchange，提问作者Dylan Pierce