github dependabot

repo에 커밋을 날렸는데, 풀리퀘가 5개정도 생성되어있더라고요

 

dependabot이라는 친구가 지속적으로 dependencies 문제로 풀리퀘를 날리고 있음을 확인할 수 있다

 

 

What is Dependabot?

• dependabot은 repository의 종속성들을 확인해 보안 이슈가 발생하는 것을 관리해주는 도구
• repository의 Setting의 Code security and analysis 탭에서 쉽게 Enable / Disable 가능하다

 

어떻게 해결?

• pr merge하면 됨 ⇒ 하지만 버전 업데이트가 프로젝트에 미치는 영향 파악해야 함
• 의존성의 의존성에서 문제가 발생했을 때, 자동으로 업그레이드 하지 못함
• 수동으로 충돌을 해결하는 방법이 있다

지금은 dependabot pr들이 자동 merge가 안되는 상황이라 수동으로 dependencies conflict 해결해야함 (무척이나 귀찮음)

 

사실 virtualenv + requirements.txt 조합으로 관리하지말고 poetry로 하면 이런 문제 생길 걱정이 없습니다

그런 의미에서 다음 글은 poetry로