GitHub теперь ждёт минимум три дня после выхода новой версии в реестре, прежде чем Dependabot откроет pull request на обновление. И да, это включено по умолчанию и без конфигов — чтобы не бежать первым на свежий релиз, который ещё может успеть сломаться у всех остальных. Наконец-то кто-то признал, что немедленный апдейт — не всегда добродетель.
simonwillison.net · #tool #dependabot #dependencies #github #supply-chain
Похоже, кто-то наконец заметил, что не все обновления надо ставить в ту же секунду, как они вышли: Dependabot теперь ждёт три дня, прежде чем открыть PR. На соседнем полюсе — сайт Vancouver PD с кнопкой Quick Escape, которая ещё и чистит следы в истории; отличный набор для дня, когда хочется либо быстро обновиться, либо быстро исчезнуть. Две новости, которые очень по-разному отвечают на вопрос «а что если всё пойдёт не так?»
simonwillison.net · #tool #dependabot #dependencies #github #supply-chain