Dependabot 未升級 Maven SNAPSHOT 依賴項的主要版本

Question

我已經安裝了dependabot，但即使有一個新的次要版本的SNAPSHOT依賴項可用，也找不到它。

采取以下pom.xml ：

<project xmlns="http://maven.apache.org/POM/4.0.0"
     xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
     xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 http://maven.apache.org/xsd/maven-4.0.0.xsd">
<modelVersion>4.0.0</modelVersion>
<groupId>com.org</groupId>
<artifactId>project</artifactId>
<version>2.4-SNAPSHOT</version>
<dependencies>
    <dependency>
        <groupId>com.org</groupId>
        <artifactId>dependency</artifactId>
        <version>1.1-SNAPSHOT</version>
    </dependency>
</dependencies>

使用以下dependabot.yml ：

version: 2
registries:
  github-maven:
    type: maven-repository
    url: https://maven.pkg.github.com/my-org/*/
    username: admin
    password: rosebud
updates:
  - package-ecosystem: maven
    registries: "*"
    directory: /
    schedule:
      interval: daily

我的私有存儲庫中現在有一個1.2-SNAPSHOT - 我可以看到它已上傳到https://maven.pkg.github.com/my-org/maven-repository/com/org/dependency/1.2-SNAPSHOT/dependency-1.2-20220714.094840-17.jar

查看 Dependabot 日志，很明顯它找到了來自maven-metadata.xml的所有dependency版本，但實際上並沒有獲得任何這些版本。

updater | INFO <job_418367509> Checking if com.org:dependency 1.1-SNAPSHOT needs updating
  proxy | 2022/07/14 09:41:03 [176] GET https://repo.maven.apache.org:443/maven2/com/ci/dependency/maven-metadata.xml
  proxy | 2022/07/14 09:41:03 [176] 404 https://repo.maven.apache.org:443/maven2/com/ci/dependency/maven-metadata.xml
  proxy | 2022/07/14 09:41:03 [178] GET https://maven.pkg.github.com:443/my-org/*/com/ci/dependency/maven-metadata.xml
  proxy | 2022/07/14 09:41:03 [178] * authenticating maven repository request (host: maven.pkg.github.com)
  proxy | 2022/07/14 09:41:03 [178] 200 https://maven.pkg.github.com:443/my-org/*/com/ci/dependency/maven-metadata.xml
  proxy | 2022/07/14 09:41:03 [180] HEAD https://repo.maven.apache.org:443/maven2/com/ci/dependency/1.2-SNAPSHOT/dependency-1.2-SNAPSHOT.jar
  proxy | 2022/07/14 09:41:03 [180] 404 https://repo.maven.apache.org:443/maven2/com/ci/dependency/1.2-SNAPSHOT/dependency-1.2-SNAPSHOT.jar
  proxy | 2022/07/14 09:41:03 [182] HEAD https://maven.pkg.github.com:443/my-org/*/com/ci/dependency/1.2-SNAPSHOT/dependency-1.2-SNAPSHOT.jar
  proxy | 2022/07/14 09:41:03 [182] * authenticating maven repository request (host: maven.pkg.github.com)
  proxy | 2022/07/14 09:41:04 [182] 404 https://maven.pkg.github.com:443/my-org/*/com/ci/dependency/1.2-SNAPSHOT/dependency-1.2-SNAPSHOT.jar
  proxy | 2022/07/14 09:41:04 [188] HEAD https://repo.maven.apache.org:443/maven2/com/ci/dependency/1.1-SNAPSHOT/dependency-1.1-SNAPSHOT.jar
  proxy | 2022/07/14 09:41:04 [188] 404 https://repo.maven.apache.org:443/maven2/com/ci/dependency/1.1-SNAPSHOT/dependency-1.1-SNAPSHOT.jar
  proxy | 2022/07/14 09:41:04 [190] HEAD https://maven.pkg.github.com:443/my-org/*/com/ci/dependency/1.1-SNAPSHOT/dependency-1.1-SNAPSHOT.jar
  proxy | 2022/07/14 09:41:04 [190] * authenticating maven repository request (host: maven.pkg.github.com)
  proxy | 2022/07/14 09:41:04 [190] 404 https://maven.pkg.github.com:443/my-org/*/com/ci/dependency/1.1-SNAPSHOT/dependency-1.1-SNAPSHOT.jar
updater | INFO <job_418367509> Latest version is 
updater | INFO <job_418367509> Requirements to unlock update_not_possible
updater | INFO <job_418367509> Requirements update strategy 
updater | INFO <job_418367509> No update possible for com.org:dependency 1.1-SNAPSHOT

我認為問題在於SNAPSHOT版本的文件名中都有日期，雖然這在maven-metadata.xml中列出，但 Dependabot 不支持。 我無法驗證這一點，因為這不再是您可以更改的 Maven 行為。

我的私有存儲庫中的非SNAPSHOT依賴項可以與 Dependabot 一起正常工作，並且我的依賴項在 Maven 中解決了構建等問題。

Answer 1

這是 Dependabot 中的一個錯誤。

從 GitHub 支持：

我們的工程師發現我們對 SNAPSHOT 包的支持存在問題。 他們已經為此打開了一個問題，但沒有估計何時發布修復程序。