Repository navigation
fix: dependabot.yml con docker en apps/web, grupos y sin los paquetes del SDK de Expo - #363
Merged
Merged
Conversation
… del SDK de Expo - docker apuntaba a "/", donde no hay Dockerfile: la imagen base de apps/web/Dockerfile no recibía PR desde junio. - npm agrupa prisma, next, expo y el resto de menores y parches para no llenar el límite de 10 PR abiertos. - Fuera los paquetes que fija el SDK de Expo; expo-* solo recibe parches. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
This file contains hidden or bidirectional Unicode text that may be interpreted or compiled differently than what appears below. To review, open the file in an editor that reveals hidden Unicode characters.
Learn more about bidirectional Unicode characters
Sign up for free
to join this conversation on GitHub.
Already have an account?
Sign in to comment
1 participant
Add this suggestion to a batch that can be applied as a single commit.This suggestion is invalid because no changes were made to the code.Suggestions cannot be applied while the pull request is closed.Suggestions cannot be applied while viewing a subset of changes.Only one suggestion per line can be applied in a batch.Add this suggestion to a batch that can be applied as a single commit.Applying suggestions on deleted lines is not supported.You must change the existing code in this line in order to create a valid suggestion.Outdated suggestions cannot be applied.This suggestion has been applied or marked resolved.Suggestions cannot be applied from pending reviews.Suggestions cannot be applied on multi-line comments.Suggestions cannot be applied while the pull request is queued to merge.Suggestion cannot be applied right now. Please check back later.
Viene de CIE-204 (revisión de la rutina de Dependabot, PR #362). Solo cambia
.github/dependabot.yml.docker:
directory: "/"no tenía ningún Dockerfile. Los dos están enapps/web/(FROM node:26-alpine), así que la imagen base no recibía PR desde #51 (3 de junio). Ahora apunta a/apps/web.npm, grupos: el límite de 10 PR abiertos estaba lleno desde el 28-09 (#345 a #354) y los lunes 5 y 12 de octubre no entró nada. Ahora van cuatro grupos, por este orden (cada dependencia entra en el primero que la incluye):
prisma:prisma,@prisma/*, con cualquier tipo de subida (tienen que ir juntos).next:next,@next/*,eslint-config-next.expo:expo,expo-*,@expo/*,babel-preset-expo(solo parches, ver abajo).menores-y-parches: el resto, solo minor y patch.Los majors que no caen en los tres primeros grupos siguen llegando en PR sueltos.
npm,
ignore: los paquetes que fija el SDK 57 de Expo (bundledNativeModules.jsondeexpo@57.0.25, comparado conapps/android/package.json) se suben connpx expo install --fixal cambiar de SDK. Los PR de Dependabot que se salen de esas versiones no se pueden mergear (#347, #351, #353).react,react-dom,react-native,react-native-{gesture-handler,reanimated,safe-area-context,screens,svg,web,webview,worklets},@react-native-async-storage/async-storagey@react-native-community/datetimepicker.expo,expo-*,@expo/*ybabel-preset-expoignoran major y minor, porque un major o minor de esos paquetes ya es otro SDK. Siguen entrando sus parches.Seguridad: con
target-branch, las opciones del ecosistema no se aplican a las actualizaciones de seguridad, que van siempre a la rama por defecto (referencia de Dependabot,target-branch). Losignoreno tapan ningún CVE.Verificación: el YAML valida contra el esquema
dependabot-2.0de SchemaStore (ajv). No se puede probar de antemano cómo agrupará Dependabot el lunes: lo comprueba la primera ejecución de la rutina tras el merge.Tras el merge: #347, #351 y #353 se quedan abiertos. No sé si Dependabot cierra solo los PR de dependencias que pasan a ignorarse, así que hay que cerrarlos a mano si siguen abiertos.
🤖 Generated with Claude Code