dependabot 只更新锁文件

Question

我们最近从 greenkeeper 切换到 dependabot 以进行依赖项检查，我们注意到 dependabot 正在打开 PR，仅更改 package-lock.json 保持 package.json 不变。

另一方面，greenkeeper 正在提交对两个文件的更改。

发生了什么事？这是正常的还是我们错过了设置中的某些内容？

Answer 1

这是一个很晚的回复。我们已经在生产中工作了很长时间，但我看到仍然有兴趣促使我认为人们可能需要一些帮助。所以，这里是：

当使用 GitHub 依赖机器人时（不是 dependabot-preview，虽然 conf 文件实际上可能是一样的）：

• 在您的 repo 的 .github 目录中创建一个 dependabot.yml 文件。
• 指定increase 中的versioning-strategy。

它看起来像这样（例如npm）：

version: 2
updates:
  - package-ecosystem: "npm"
    directory: "/"
    schedule:
      interval: "daily"
    # Always increase the version requirement
    # to match the new version.
    versioning-strategy: increase

就是这样。现在，package.json 和 package-lock.json 都被写入并增加了版本。

Answer 2

文件 package-lock.json 的目标是跟踪已安装的每个包的确切版本，以便产品以相同的方式 100% 可重现，即使包是由他们的维护者更新。 reference link is here

所以 package.json 和 package-lock.json 有不同的用途。

dependabot 尝试仅推送修改后的 package-lock.json 没有错误。

Answer 3

类似的事情发生在我身上，可能是两件事：

1. 在dependendabot 配置中，您只需接受package-lock.json 的更新
2. （这是对我有用的）在 package.json 中的键 Name 中，在我的情况下，您可能用不正确的符号编写了 web-app 符号 - 导致我没有更新它现在我将其命名为webapp。