github - dependabot 只更新锁定文件

Question

我们最近从 greenkeeper 切换到 dependabot 以进行依赖项检查，我们注意到 dependabot 正在打开 PR，只更改 package-lock.json，而 package.json 保持原样。

另一方面， greenkeeper 正在提交对两个文件的更改。

到底是怎么回事？这是正常的还是我们在设置中遗漏了什么？

Answer 1

这是一个很晚的答复。我们已经在生产环境中工作了很长时间，但是我看到仍然有兴趣提醒我，也许人们需要一些帮助。所以，这里是:
当使用 GitHub 依赖机器人( 不是 dependabot-preview ，虽然 conf 文件可能是相同的，实际上):

在你的 repo 的 dependabot.yml 目录中创建一个 .github 文件。

指定increase的versioning-strategy。

它看起来像这样(例如 npm ):

version: 2
updates:
  - package-ecosystem: "npm"
    directory: "/"
    schedule:
      interval: "daily"
    # Always increase the version requirement
    # to match the new version.
    versioning-strategy: increase

就是这样。现在， package.json 和 package-lock.json 都随着版本的增加而写入。