Dependabot 版本更新默认等新包发布满三天 RSS

GitHub 宣布 Dependabot 默认等 registry 上的新版本存在至少三天，再创建版本更新的 PR，不需要额外配置。这个默认只作用于版本更新，安全更新仍然立即创建，维护者可以用 cooldown 配置改窗口或退出，GHES 3.23 会带上同一默认。恶意发布和账户接管的信号常在发布后不久才出现，延迟能压低发布即合并的风险，但替代不了锁文件、来源准入和人工审核。

发布于 2026-09-10T10:59:46.161772Z · GitHub · GitHub Changelog

供应链 依赖

GitHub 宣布 Dependabot 默认等 registry 上的新版本存在至少三天，再创建版本更新的 PR，不需要额外配置。这个默认只作用于版本更新，安全更新仍然立即创建，维护者可以用 cooldown 配置改窗口或退出，GHES 3.23 会带上同一默认。恶意发布和账户接管的信号常在发布后不久才出现，延迟能压低发布即合并的风险，但替代不了锁文件、来源准入和人工审核。

GitHub 宣布 Dependabot 默认等 registry 上的新版本存在至少三天，再创建版本更新的 PR，不需要额外配置。这个默认只作用于版本更新，安全更新仍然立即创建，维护者可以用 cooldown 配置改窗口或退出，GHES 3.23 会带上同一默认。恶意发布和账户接管的信号常在发布后不久才出现，延迟能压低发布即合并的风险，但替代不了锁文件、来源准入和人工审核。

原始来源 ↗

来源记录

• center.info_item · 8321aa66d9ed14a9 · 2026-10-03T04:08:35.169032Z
• pgweb.info_item · 8321aa66d9ed14a9 · 2026-10-03T04:08:55.967155Z