当前位置：首页 > article >正文

技术速递｜使用 Dependabot 管理 .NET SDK 更新

article 2024/12/24 13:10:54

作者：Jamie Magee - 高级软件工程师

排版：Alan Wang

保持 .NET SDK 版本的更新对于维护安全高效的应用程序至关重要。现在 Dependabot 可以在 global.json 中更新 .NET SDK 版本，这使您可以比以往更轻松地确保自己的应用程序始终运行最新的安全补丁和改进。

定期更新 SDK 至关重要，因为它们包括：

已知漏洞 (CVE) 的安全补丁
错误修复和性能改进
最新的开发工具和功能

使用 global.json 管理 SDK 版本

若要管理 .NET SDK 版本，通常需要在项目中使用 global.json 文件。此文件指定项目应使用哪个版本的 SDK。以下是一个简单的 global.json 文件示例：

{
  "sdk": {
    "version": "9.0.100"
  }
}

如果您正在使用 GitHub Actions 和 dotnet/setup-dotnet Action，此文件将确保在您的 CI/CD 管道中使用正确的 SDK 版本。

配置 Dependabot 以进行 .NET SDK 更新

请在默认分支中的 .github/dependabot.yml 文件路径下将一个 dependabot.yml 文件添加到您的存储库。如果您始终希望收到最新更新，则最简单配置将如下所示：

version: 2
updates:
  - package-ecosystem: "dotnet-sdk"
    directory: "/"

但是 .NET SDK 更新大多在“补丁星期二”（每月的第二个星期二）发布，因此您可能需要调整更新计划，以便每周仅检查一次更新。您可以通过添加 schedule 部分来实现这一点：

version: 2
updates:
  - package-ecosystem: "dotnet-sdk"
    directory: "/"
    schedule:
      interval: "weekly"
      day: "wednesday"

此外，如果您只想关注安全补丁，可以忽略主要版本和次要版本更新。这可以通过添加 ignore 部分来实现：

version: 2
updates:
  - package-ecosystem: "dotnet-sdk"
    directory: "/"
    schedule:
      interval: "weekly"
      day: "wednesday"
    ignore:
      - dependency-name: "*"
        update-types: 
          - "version-update:semver-major"
          - "version-update:semver-minor"