Repository navigation
Dependabot-Version-Updates für Actions, @basicbar/ui und die Django-Pakete - #31
Merged
Merged
Conversation
…ie Django-Pakete Security-Updates und Alerts waren schon aktiv; es fehlten die regelmäßigen Version-Updates. Wöchentlich (montags), gruppiert, mit 7 Tagen Cooldown für npm/pip; TipTap wandert immer als ein PR. Die bestehende CI (pull_request) testet jeden Dependabot-PR — SPDX, Paket-Suiten, ui-Build, Template-Probe. Bewusst nicht abgedeckt: die .jinja-Pins und Docker-Basisimages des Templates (Dependabot kann .jinja nicht lesen; Runtime-Wechsel sind Entscheidungen, keine Routine-Bumps). Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
"auto" rät zwischen App und Library; als App würde es die Untergrenzen der Django-Pakete anheben (Django>=5.1 → >=6.0) und damit jedes Tool zum Upgrade zwingen. "widen" hebt nur Obergrenzen an. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
…en stehen GitHubs Config-Check lehnt "widen" für pip ab (erlaubt: lockfile-only, auto, increase, increase-if-necessary). "auto" behandelt nicht auf PyPI veröffentlichte Pakete als Apps; jede verfügbare Strategie würde damit die Untergrenzen der Django-Pakete anheben und alle Tools zum Upgrade zwingen. Security-Updates laufen weiter über die Repo-Einstellung. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
This file contains hidden or bidirectional Unicode text that may be interpreted or compiled differently than what appears below. To review, open the file in an editor that reveals hidden Unicode characters.
Learn more about bidirectional Unicode characters
Sign up for free
to join this conversation on GitHub.
Already have an account?
Sign in to comment
Add this suggestion to a batch that can be applied as a single commit.This suggestion is invalid because no changes were made to the code.Suggestions cannot be applied while the pull request is closed.Suggestions cannot be applied while viewing a subset of changes.Only one suggestion per line can be applied in a batch.Add this suggestion to a batch that can be applied as a single commit.Applying suggestions on deleted lines is not supported.You must change the existing code in this line in order to create a valid suggestion.Outdated suggestions cannot be applied.This suggestion has been applied or marked resolved.Suggestions cannot be applied from pending reviews.Suggestions cannot be applied on multi-line comments.Suggestions cannot be applied while the pull request is queued to merge.Suggestion cannot be applied right now. Please check back later.
Was
Dependabot-Alerts und Security-Updates sind auf dem Repo schon aktiv. Es fehlten die regelmäßigen Version-Updates — die liefert diese
.github/dependabot.yml:/checkout,setup-node,setup-python,action-gh-release)/packages/uiincrease-if-necessary: Updates im erlaubten Bereich ändern nurpackage-lock.json— die veröffentlichten Ranges für die Tools bleiben. Ein neuer Major verschiebt den Range.@tiptap/*kommt immer gemeinsam (müssen auf einer Version bleiben), alle übrigen Minor/Patch als ein Sammel-PR, Majors einzeln. 7 Tage Cooldown.Zeitplan: montags 06:00 Europe/Berlin. Commit-Präfix
chore(deps).Testen:
ci.ymltriggert aufpull_request— jeder Dependabot-PR durchläuft SPDX-Check, alle Paket-Suiten, ui-Build mitnpm ciund die Template-Probe. Dependabot-PRs bekommen keine Secrets, die CI braucht aber auch keine.Bewusst nicht abgedeckt (im Kopf der Datei begründet):
versioning-strategy: widen. Das lehnt GitHubs Config-Check ab: Für pip gibt es nurlockfile-only,auto,increaseundincrease-if-necessary.autobehandelt nicht auf PyPI veröffentlichte Pakete als Apps. Damit würde jede dieser Strategien die Untergrenzen anheben (Django>=5.1→>=6.0) und alle Tools zum Upgrade zwingen. Security-Updates für sie laufen weiter über die Repo-Einstellung.requirements.txt.jinja,package.json.jinja) — Dependabot kann.jinja-Dateien nicht lesen. Sie wandern weiter mit den Paket-Releases mit; veraltete Pins fängt die Template-Probe ab.python:3.12-slim,node:22-slim). Ein Runtime-Wechsel für alle künftigen Tools ist eine Entscheidung, kein Routine-Bump. Außerdem würde Dependabot dasfrontend/Dockerfile.jinjazurücklassen.CLAUDE.md und CHANGELOG (Abschnitt
Repo) sind ergänzt — inklusive des Hinweises, dass ein reiner Lockfile-PR inpackages/uikein ui-Release auslöst.Geprüft
check-jsonschema --builtin-schema vendor.dependabotmeldet die Datei als gültig. Entscheidend ist aber GitHubs eigener Check.github/dependabot.ymlam PR — der ist strenger (er hatwidenfür pip abgelehnt, das Schema-Tool nicht).🤖 Generated with Claude Code