Dependabot перестал самостоятельно определять конфигурацию .npmrc и теперь полагается на явную настройку scope в dependabot.yml

В GitHub объявили об изменении логики работы Dependabot с приватными npm-реестрами: инструмент больше не пытается восстанавливать содержимое .npmrc из URL-адресов, указанных в файлах блокировок, поскольку такая эвристика регулярно приводила к сбоям аутентификации из-за неверных URL, различий в форматах между npm, Yarn v1, Yarn Berry и pnpm, а также других пограничных случаев.

Dependabot перестал самостоятельно определять конфигурацию .npmrc и теперь полагается на явную настройку scope в dependabot.yml. Фото: СС0

Теперь разработчики могут явно определить свойство scope для реестров в файле dependabot.yml, и Dependabot будет использовать это значение для автоматической генерации корректного .npmrc, причём наличие scope имеет приоритет над любыми другими источниками, включая уже закоммиченный в репозиторий .npmrc-файл.

Если в репозитории уже есть .npmrc и scope не настроен, Dependabot продолжит использовать существующий файл как и раньше, поэтому новая опция требуется только тем, кто полагался на автоматическое определение и не хранит конфигурацию в репозитории.

Функция доступна всем пользователям github.com и появится в GHES 3.23, а для начала работы достаточно обновить dependabot.yml, добавив scope для всех npm-реестров, которым это необходимо. Это изменение делает конфигурацию Dependabot более предсказуемой и прозрачной, устраняя многолетнюю проблему с частыми ошибками аутентификации при работе с приватными пакетами.