dependabot.yml

Bằng chứng (6)

• 8GitHub Blog·6/8/2026security
  GitHub mở rộng cảnh báo mã độc ra ngoài npm

  GitHub cho biết cảnh báo mã độc của Dependabot hiện bao phủ tám hệ sinh thái gói, bao gồm cả PyPI, nhờ tiếp nhận báo cáo từ kho malicious-packages của OpenSSF. Bản cập nhật thay thế luồng chỉ dành cho npm của GitHub bằng một bộ nhập dữ liệu chung, xác thực và chuẩn hóa các báo cáo mã độc theo định dạng OSV trước khi đưa vào cơ sở dữ liệu tư vấn bảo mật.

• 5GitHub Blog·29/7/2026open_source
  GitHub khuyến nghị gom các cập nhật Dependabot thành các đợt hàng tháng

  GitHub Blog nêu cách giảm nhiễu từ Dependabot bằng việc nhóm các bản cập nhật phụ thuộc và chuyển tần suất kiểm tra từ hằng ngày sang hằng tháng. Cách này vẫn giữ các cập nhật bảo mật được triển khai nhanh, đồng thời giảm số lượng pull request, lượt chạy CI và khối lượng rà soát, đặc biệt hữu ích với kho mã hoạt động thường xuyên và monorepo.

• 4GitHub Blog·14/7/2026security
  GitHub bổ sung thời gian chờ ba ngày cho các bản cập nhật Dependabot

  GitHub đã thay đổi Dependabot để công cụ này chờ ít nhất ba ngày sau khi một bản phát hành mới xuất hiện trên registry rồi mới mở pull request cập nhật phiên bản. Cơ chế chờ này hiện là mặc định và không cần cấu hình thêm.

• 7GitHub Blog·1/7/2026security
  GitHub kêu gọi người bảo trì bật các cài đặt bảo mật quan trọng

  GitHub Security Lab nêu bật sáu cài đặt bảo mật miễn phí mà người bảo trì có thể bật trong chưa đầy 30 phút để cải thiện tư thế bảo mật của dự án. Các khuyến nghị gồm thêm tệp SECURITY.md, bật báo cáo lỗ hổng riêng tư, quét bí mật kèm push protection, Dependabot và dependency review, cùng code scanning.

• 4Martin Fowler·20/5/2026research
  Thêm Ba Cảm Biến Phân Tích Mã Nguồn Tĩnh

  Martin Fowler giới thiệu phần tiếp theo mang tính thực tiễn về việc dùng phân tích mã nguồn tĩnh và các cảm biến liên quan để giúp tác nhân lập trình duy trì khả năng bảo trì của codebase. Bài viết đề cập đến các công cụ phản hồi như linting, quy tắc phụ thuộc, phân tích độ kết dính, rà soát tính mô-đun và mutation testing để phát hiện sớm vấn đề và hỗ trợ tự sửa lỗi.

• 5Martin Fowler·19/5/2026research
  Các cảm biến về khả năng bảo trì cho tác nhân lập trình

  Bài viết mô tả các thử nghiệm thực tế với những “cảm biến” tự động nhằm giúp các tác nhân lập trình bằng AI giữ cho mã nguồn dễ bảo trì. Nội dung nhấn mạnh các công cụ như lint, kiểm tra phụ thuộc, độ bao phủ kiểm thử, mutation testing và phân tích cấu trúc để phát hiện sớm vấn đề bảo trì và hỗ trợ tự sửa trước khi đến tay con người.