监控软件包依赖

相信本文的读者或多或少用过或听说过 NPM、Maven、pip 这类软件包管理工具。

当你精心制作了一个网页、或写了一个小程序、或者使用 Vue.js + Spring 搭建了一套框架，来自 npmjs.com 和 maven 的无数软件包被你引入项目作为基础依赖，它们就如同一砖一瓦。当今互联网上丰富的第三方软件包能帮你比以往更轻松地构建大型业务系统。

因此，软件包依赖是供应链安全的重要部分，及时更新依赖可以减小漏洞风险面，甚至在不经意间提升软件性能。

Renovate Bot 是一款支持多种编程语言的软件包依赖监控工具。

它具有以下功能：

• 自动发现 Gitea 仓库列表
• 自动扫描软件包依赖。如 package.json、go.mod、Dockerfile 等
• 自动检查依赖更新
• 自动提供软件包依赖更新补丁

使用 Renovate Bot 可以实现周期性地扫描 Gitea 项目仓库，并且直接提供相关依赖的更新补丁。

根据下面的教程，我们在自己的 Gitea 服务器上配置 Renovate Bot 作为机器人，帮助我们自动查找项目中的依赖问题。

准备

• Gitea 服务器：可以是自建，也可以是支持 API 调用的公共服务器（API 入口一般都是默认打开的。可以试用 try.