如何允许dependabot在Magento注册表上进行身份验证？

Question

我在我的 Github 存储库上配置了 Dependabot，但它无法在 repo.magento.com 上进行身份验证。

我已经配置了

.github/dependabot.yml

文件，如下所示：

version: 2
registries:
  adobe:
    type: composer-repository
    url: repo.magento.com
    username: XXXXXXXXXXXXXXX
    password: ${{secrets.DEPENDABOT_COMPOSER_PASSWORD}}
  github:
    type: composer-repository
    url: github.com
    username: XXXXXXXXXXXXXXX
    password: ${{secrets.DEPENDABOT_GITHUB_PASSWORD}}
updates:
  - package-ecosystem: "composer" # See documentation for possible values
    directory: "/magento/site" # Location of package manifests
    registries:
      - adobe
      - github
    schedule:
      interval: "weekly"
    target-branch: "develop"
    open-pull-requests-limit: 0

但我不断在 Dependabot 日志中收到身份验证错误：

  proxy | 2024/02/14 10:53:18 [067] GET https://repo.magento.com:443/packages.json
  proxy | 2024/02/14 10:53:18 [067] 401 https://repo.magento.com:443/packages.json
  proxy | 2024/02/14 10:53:18 [067] Remote response: {"warning":"You haven\u0027t provided your Magento authentication keys. For instructions, visit https:\/\/devdocs.magento.com\/guides\/v2.3\/install-gde\/prereq\/connect-auth.html"}
updater | 2024/02/14 10:53:19 INFO <job_786964504> Handled error whilst updating composer/composer: private_source_authentication_failure {:source=>"repo.magento.com"}
updater | 2024/02/14 10:53:19 INFO <job_786964504> Finished job processing
updater | 2024/02/14 10:53:19 INFO Results:
updater | Dependabot encountered '1' error(s) during execution, please check the logs for more details.
updater | +-----------------------------------------------------------+
updater | |               Dependencies failed to update               |
updater | +-------------------+---------------------------------------+
updater | | composer/composer | private_source_authentication_failure |
updater | +-------------------+---------------------------------------

显然我已经仔细检查过我的用户名和密码是否正确。

感谢您的帮助。

Answer 1

首先检查您是否创建了 Dependabot 秘密

Dependabot 机密是您在组织级别或存储库级别创建的加密凭据。
当您在组织级别添加机密时，您可以指定哪些存储库可以访问该机密。

您可以使用机密来允许 Dependabot 更新位于私有包注册表中的依赖项。当您添加机密时，它会在到达 GitHub 之前进行加密，并且在 Dependabot 使用它来访问私有包注册表之前一直保持加密状态。

Dependabot 机密还包括由 Dependabot 拉取请求触发的 GitHub Actions 工作流程使用的机密。 Dependabot 本身可能不会使用这些秘密，但工作流程需要它们。

当 Dependabot 事件触发工作流程时，工作流程唯一可用的机密是 Dependabot 机密。 GitHub Actions 机密不可用。

另请参阅 Josh Johanning 的“在 GitHub 中配置 Dependabot 以实现可重用工作流程”，以向 Dependabot 授予访问您的存储库的 Dependabot 授权。