GitHub Dependabot: Jak seskupit aktualizace a zklidnit monorepo

Dependabot, nástroj pro automatickou aktualizaci závislostí, nově umí seskupit updaty jedné knihovny napříč celým projektem do jediného pull requestu. Pro týmy spravující komplexní monorepa to znamená výrazně méně notifikací a jednodušší správu.

GitHub představil novou funkci pro Dependabot, která řeší častý problém v monorepozitářích, kde se jedna závislost používá na více místech. Cílem je snížit zahlcení vývojářů pull requesty.

Dříve Dependabot vytvořil pro každou instanci závislosti samostatný pull request. Pokud jste například používali knihovnu React v pěti různých balíčcích v rámci jednoho repozitáře, aktualizace vygenerovala pět samostatných PR.

Nyní je možné tyto aktualizace seskupit do jediného pull requestu. Tím se dramaticky snižuje počet notifikací a zjednodušuje proces revize a schvalování změn. Tato funkce je užitečná nejen pro monorepa, ale pro jakýkoli projekt s více konfiguračními soubory závislostí.

Je důležité rozlišovat mezi verzovými a bezpečnostními aktualizacemi. Seskupování verzových updatů je plně konfigurovatelné v souboru dependabot.yml. Seskupování bezpečnostních záplat funguje trochu jinak a nastavuje se primárně v nastavení repozitáře, přičemž nekombinuje bezpečnostní a verzové updaty dohromady.

Aktivace pro verzové updaty probíhá přidáním jednoduché konfigurační direktivy groups do souboru dependabot.yml. Týmy si tak mohou nastavit strategii, která nejlépe vyhovuje jejich workflow, například podle typu závislostí nebo jejich umístění v projektu.

Náš pohled

Konec záplavě pull requestů od Dependabota je konečně na dosah. Pro team leady a DevOps inženýry, kteří spravují rozsáhlé monorepozitáře, je to skvělá zpráva. **Méně času stráveného schvalováním triviálních updatů znamená více času na skutečný vývoj.** Zavedení této funkce je přitom otázkou několika řádků v konfiguraci. Doporučujeme si ale jasně definovat strategii – například seskupovat všechny frontendové závislosti dohromady a backendové zvlášť, aby revize zůstala přehledná. **Není to všelék**, stále je potřeba hlídat kompatibilitu a možné vedlejší efekty, zvláště u majoritních verzí. Novinka však odstraňuje jednu z největších překážek pro efektivní správu závislostí ve velkých projektech a snižuje „únavu z notifikací“, která často vede k ignorování důležitých aktualizací.