HN 提问：小型团队如何务实地应对 Dependabot 疲劳？
1 分•作者: maxk85•大约 4 小时前
如今的 CVE（通用漏洞披露）数量简直是疯狂的，我想知道你们大家是如何处理更新的？我知道大型组织在这方面更有条理——有私有依赖项注册表，并附带某种审查流程，这样就不是每个人都必须决定采用哪个版本。
但对于没有私有注册表平台解决方案的小型项目呢？你们是如何更新软件包的？特别是对于那些不经常进行更改的项目。
我真的很想知道。是仅仅在本地运行 `npm update` 或类似的命令吗？还是在受控环境（如 GitHub Actions）中进行？
你们会请求 LLM（大型语言模型）来代劳吗？你们是如何扩展 semver（语义化版本）约束的？
根据我的个人经验，这需要花费大量的时间和精力：
1. 我需要审查所有的 CVE（例如，由 Dependabot 报告的）。
2. 然后收集所有已修复的版本，并祈祷有针对我当前主版本的补丁。
3. 如果没有，就去查看我需要更新的所有内容的变更日志。
4. 然后我需要弄清楚在我的项目中具体需要更新什么。
5. 有时更改会非常大，或者 LLM 不足以完成迁移（这对于 UI 相关的部分尤其敏感）。
6. 然后进行更新。有时，这可能需要更新其他软件包或覆盖版本。
我想知道其他人是如何做的，特别是小型公司。
* 你们是否有依赖项更新的周期？
* 你们是否利用任何额外的工具来简化这个过程？
* 你们是否有关于忽略哪些警报的流程？
查看原文
Amount of CVEs nowadays is kind of madness and I'm wondering how you're all dealing with the updates? I know larger organizations are more structured in this regard - there's private dependencies registry with some kind of vetting process, so not everyone has to decide what version to take.<p>But what about smaller projects without private registry platform solution? How you go about updating your packages? Especially for projects without high frequency changes.<p>I'm genuinely curious. Is it just `npm update` or similar locally? or in the controlled environment (Github Actions)?
Do you ask LLM to do the job for you? How you go about extending semver constraints?<p>From my personal experience, this takes an awful lot of time and attention:<p>1. I need to review all the CVEs (reported from the Dependabot for example)<p>2. Then collect all the patched versions and pray there's a patch for my major<p>3. If no, then go check changelog of everything I have to update.<p>4. Then I need to figure out what exactly I need to update in my project<p>5. Sometimes the change is awkwardly large or LLM is not enough to migrate (this is especially sensitive for the UI-related stuff)<p>6. Then proceed with updates. Sometimes, it would require to update other packages or override version<p>I'm curious how it works for others, especially for smaller companies<p>- Do you have dependencies update cadence?<p>- Are you leveraging any additional tools to make it easier?<p>- Do you have a process around what alerts to ignore?