如何为 GitHub 仓库禁用 Dependabot 警报

如果您正在管理一个已经休眠数月的个人项目，或者维护用于教育目的的演示仓库，您一定了解这种困扰：Dependabot 不断向您的收件箱发送安全警报，并为您永远不会更新的依赖项创建拉取请求。让我们来解决这个问题。

本指南将详细展示如何为单个 GitHub 仓库禁用 Dependabot 警报和自动拉取请求——既可以通过 GitHub 界面操作，也可以使用配置文件。我们将介绍 Dependabot 三个功能之间的差异以及如何关闭每一个功能。

理解 Dependabot 的三个功能

在深入了解如何禁用 Dependabot 之前，了解您要关闭的功能至关重要。Dependabot 不是单一功能——它实际上是三个不同的服务：

1. Dependabot 警报：关于依赖项中安全漏洞的通知
2. Dependabot 安全更新：修复已知漏洞的自动拉取请求
3. Dependabot 版本更新：保持所有依赖项最新的自动拉取请求（不仅仅是有漏洞的依赖项）

每个功能都可以独立禁用，让您精确控制接收哪些通知和拉取请求。

方法一：通过 GitHub 设置禁用 Dependabot

关闭 Dependabot 最快的方法是通过仓库的设置页面。这种方法非常适合一次性更改，无需编写代码。

禁用 Dependabot 警报

1. 导航到您的 GitHub 仓库
2. 点击 Settings（如果看不到，请先点击下拉菜单）
3. 在侧边栏中，找到”Security”部分并点击 Code security and analysis
4. 找到”Dependabot alerts”并点击 Disable

禁用 Dependabot 安全更新

按照上述相同路径，但寻找”Dependabot security updates”。点击 Disable 停止自动安全拉取请求。

注意：对于公共仓库，某些 Dependabot 功能可能会被 GitHub 政策永久启用。

版本更新如何处理？

版本更新的配置方式不同。如果您之前通过 dependabot.yml 文件启用了版本更新，您需要删除该配置或使用下面的基于文件的方法来禁用它们。

方法二：使用配置文件禁用 Dependabot

对于更持久或版本控制的更改，请使用 .github/dependabot.yml 配置文件。当您希望以下操作时，这种方法是理想的：

• 记录为什么禁用 Dependabot
• 在团队成员之间应用一致的设置
• 选择性禁用某些功能同时保留其他功能

完全禁用版本更新

要禁用 Dependabot 版本更新，将拉取请求限制设置为零：

version: 2
updates:
  - package-ecosystem: "npm"
    directory: "/"
    schedule:
      interval: "daily"
    open-pull-requests-limit: 0

此配置告诉 Dependabot 检查更新但永不创建拉取请求。将此模式应用于项目中的每个包生态系统（npm、pip、bundler 等）。

禁用特定依赖项的更新

有时您希望保持 Dependabot 活跃，但忽略某些有问题的依赖项：

version: 2
updates:
  - package-ecosystem: "npm"
    directory: "/"
    schedule:
      interval: "weekly"
    ignore:
      - dependency-name: "lodash"
      - dependency-name: "react"
        versions: ["16.x", "17.x"]

删除所有 Dependabot 配置

要完全关闭 Dependabot 版本更新，只需从仓库中删除 .github/dependabot.yml 文件。没有此文件，Dependabot 根本不会检查版本更新。

常见场景和解决方案

已归档或非活跃项目

对于真正的废弃项目，通过 GitHub 界面禁用所有三个 Dependabot 功能。对于永远不会再运行的代码，接收安全警报毫无意义。

演示和教育仓库

考虑保持 Dependabot 警报启用，但禁用自动拉取请求。这样，您可以了解漏洞信息而不会受到拉取请求的干扰。学生或读者可以看到安全警告，而不会因自动拉取请求而感到困惑。

具有混合活跃度的单体仓库

使用配置文件方法选择性地为非活跃目录禁用 Dependabot，同时为维护的代码保持活跃：

version: 2
updates:
  - package-ecosystem: "npm"
    directory: "/active-app"
    schedule:
      interval: "weekly"
  - package-ecosystem: "npm"
    directory: "/archived-app"
    schedule:
      interval: "daily"
    open-pull-requests-limit: 0

重要考虑事项

当您禁用 Dependabot 安全功能时，您承担了手动监控和更新易受攻击依赖项的责任。对于活跃项目，在完全禁用之前考虑这些替代方案：

• 减少更新频率而不是完全禁用
• 分组更新以接收更少但更大的拉取请求
• 对特定依赖项使用忽略规则而不是全面禁用

请记住，禁用 Dependabot 警报不会使漏洞消失——它只是停止通知。

结论

无论您喜欢通过 GitHub 界面点击操作还是管理配置文件，禁用 Dependabot 都很简单。关键是了解您实际想要关闭 Dependabot 的哪些功能，并为您的工作流程选择正确的方法。对于休眠项目，积极禁用是有意义的。对于其他任何项目，考虑选择性配置而不是完全停用。

常见问题

Understand every bug

Uncover frustrations, understand bugs and fix slowdowns like never before with OpenReplay — the open-source session replay tool for developers. Self-host it in minutes, and have complete control over your customer data. Check our GitHub repo and join the thousands of developers in our community.