文章摘要
Dependabot版本更新新增默认冷却期，新版本发布后至少等待三天才创建更新拉取请求，以防范供应链攻击。安全更新不受影响，用户可通过配置调整或关闭此功能。
文章总结
Dependabot版本更新引入默认包冷却期
Dependabot现在会等待新版本在注册表中发布至少三天后，才会创建版本更新拉取请求。此冷却期已成为默认设置，无需额外配置。
新版本发布是供应链攻击的常见入口点，恶意或存在缺陷的版本可能在维护者和社区发现之前就进入你的依赖更新。短暂的延迟能让问题信号有时间浮现，从而降低你合并不良版本的风险。
需要注意几点：
- 此默认设置仅适用于版本更新。安全更新仍会立即打开，确保关键修复不会延迟。
- 你仍可掌控。在
.github/dependabot.yml中使用cooldown选项设置不同的时间窗口或完全退出此功能。
此默认设置适用于 github.com 上所有受支持生态系统的 Dependabot 版本更新，并将于 GitHub Enterprise Server (GHES) 3.23 中生效。
更多信息请查阅 我们的文档关于 Dependabot 冷却期。
评论总结
根据评论内容，主要观点和论据如下：
1. 对软件供应链安全的担忧（高认可度） - 评论1指出当前软件供应链混乱，工具无法保护用户，导致用户不得不依赖供应商预扫描。关键引用："What a state of things where we have to fear installing software... because our supply chain is such a mess"（insanitybit） - 评论5质疑延迟更新可能降低发现感染的机会："If everyone starts applying cooldowns, won't it postpone the problem?"（zihotki）
2. 建议加强安全措施（中等认可度） - 评论2建议npm等注册中心根据生态系统影响实施安全要求："Example a package having millions of downloads can have special security measures enforced"（ashu1461） - 评论3质疑安全更新是否依赖真实漏洞报告或CVE："does this require a real vulnerability report, or CVE?"（bstsb）
3. 对更新频率的批评（中等认可度） - 评论6批评依赖Dependabot强制频繁更新，认为过度更新反而更糟："I'm convinced that updating so much more often is worse, not better"（Waterluvian） - 评论8指出三天冷却期可能仍允许更新到已知有问题的版本："You just get a pull request to update to a known-bad version instead"（mook）
4. 历史视角的评论（低认可度） - 评论7讽刺语言包管理器重新发明发行版包管理器90年代的做法："Watching language package managers reinvent everything distribution package managers have been doing since the 90s"（noosphr） - 评论9认为问题主要限于少数特定包管理方案："This seems to be primarily an issue with a few specific package management solutions"（Grokify）
平衡性总结：评论呈现了对安全更新延迟机制的不同看法，既有支持加强安全措施的呼声，也有对过度更新和机制有效性的质疑。