From a2eace5f7ea3e45b4e2631ce5025ceeafde18eb3 Mon Sep 17 00:00:00 2001 From: Yourtion Guo Date: Tue, 27 Oct 2026 06:46:26 +0000 Subject: [PATCH 1/2] =?UTF-8?q?chore(dependabot):=20=E6=9A=82=E5=81=9C?= =?UTF-8?q?=E6=99=AE=E9=80=9A=E7=89=88=E6=9C=AC=E5=8D=87=E7=BA=A7=20PR?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit --- .github/dependabot.yml | 3 +++ CONTRIBUTING.md | 8 ++++++++ 2 files changed, 11 insertions(+) diff --git a/.github/dependabot.yml b/.github/dependabot.yml index b39c529..a1bb9f4 100644 --- a/.github/dependabot.yml +++ b/.github/dependabot.yml @@ -3,17 +3,20 @@ updates: # GitHub Actions 依赖 - package-ecosystem: "github-actions" directory: "/" + open-pull-requests-limit: 0 schedule: interval: "weekly" # 根工程 npm 依赖（pnpm） - package-ecosystem: "npm" directory: "/" + open-pull-requests-limit: 0 schedule: interval: "weekly" # examples 子包 npm 依赖（pnpm workspace） - package-ecosystem: "npm" directory: "/examples" + open-pull-requests-limit: 0 schedule: interval: "weekly" diff --git a/CONTRIBUTING.md b/CONTRIBUTING.md index 6eea209..944636b 100644 --- a/CONTRIBUTING.md +++ b/CONTRIBUTING.md @@ -68,6 +68,14 @@ pnpm run mutation:full # 忽略已有结果，重建基线 手动触发并选择 `full` 可强制重建，只有 main 的成功运行会更新共享基线。 报告作为 `mutation-reports-*` artifact 保留 14 天。当前未设置最低变异分数门槛。 +## 依赖与安全检查 + +[Dependabot 配置](.github/dependabot.yml) 将 GitHub Actions、根 npm 和 examples npm 的 +`open-pull-requests-limit` 设为 `0`，暂停普通版本升级 PR；需要升级时由维护者单独评估。 +该选项不限制安全更新 PR，详见 [GitHub 配置说明](https://docs.github.com/en/code-security/reference/supply-chain-security/dependabot-options-reference#open-pull-requests-limit)。 +安全更新和漏洞告警仍由仓库后台设置控制，本次配置调整不改动这些开关；当前连接未能核实其启用状态。 +CodeQL 工作流继续保留。已有依赖 PR 留待逐项审阅，不批量关闭。 + ## 维护文档 - [README](README.md) 保留安装、可运行的快速开始和导航。 From 82a7685c7ccc510f91d5f91b6f4b32ca86429922 Mon Sep 17 00:00:00 2001 From: Yourtion Guo Date: Tue, 27 Oct 2026 06:47:36 +0000 Subject: [PATCH 2/2] =?UTF-8?q?docs:=20=E4=BB=85=E4=BF=9D=E7=95=99?= =?UTF-8?q?=E9=80=9A=E7=94=A8=E4=BE=9D=E8=B5=96=E7=BB=B4=E6=8A=A4=E8=AF=B4?= =?UTF-8?q?=E6=98=8E?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit --- CONTRIBUTING.md | 2 +- 1 file changed, 1 insertion(+), 1 deletion(-) diff --git a/CONTRIBUTING.md b/CONTRIBUTING.md index 944636b..6c93870 100644 --- a/CONTRIBUTING.md +++ b/CONTRIBUTING.md @@ -73,7 +73,7 @@ pnpm run mutation:full # 忽略已有结果，重建基线 [Dependabot 配置](.github/dependabot.yml) 将 GitHub Actions、根 npm 和 examples npm 的 `open-pull-requests-limit` 设为 `0`，暂停普通版本升级 PR；需要升级时由维护者单独评估。 该选项不限制安全更新 PR，详见 [GitHub 配置说明](https://docs.github.com/en/code-security/reference/supply-chain-security/dependabot-options-reference#open-pull-requests-limit)。 -安全更新和漏洞告警仍由仓库后台设置控制，本次配置调整不改动这些开关；当前连接未能核实其启用状态。 +安全更新和漏洞告警仍由仓库后台设置控制，本次配置调整不改动这些开关。 CodeQL 工作流继续保留。已有依赖 PR 留待逐项审阅，不批量关闭。 ## 维护文档