Dependabot

의존성 업데이트 실행

dependabot update 명령어를 통해 지정된 패키지 관리자와 저장소에 대한 의존성 업데이트 작업을 실행할 수 있습니다. 이 명령어는 PR을 직접 생성하지는 않지만, 업데이트 가능한 의존성 목록을 출력하여 이후 PR 생성에 활용할 수 있는 데이터를 제공합니다. 예를 들어, dependabot update go_modules dependabot/cli 와 같이 실행하면 go_modules 생태계의 dependabot/cli 저장소에 대한 업데이트 작업을 수행합니다.

작업 설명 파일 지원

CLI는 --file 또는 -f 옵션을 통해 작업 설명 파일(job description file)을 입력으로 받을 수 있습니다. 이를 통해 보안 업데이트 전용 실행, 개인 레지스트리 인증, 특정 디렉터리 대상 업데이트 등 고급 설정이 가능합니다. 작업 설명 파일은 YAML 형식으로 작성되며, 패키지 관리자, 허용 업데이트 유형, 의존성 목록, 보안 권고 사항, 소스 제공자 정보 및 인증 자격 증명을 포함할 수 있습니다.

연기 테스트 기능

dependabot test 명령어는 연기 테스트 파일(smoke test file)을 입력으로 받아 Dependabot 업데이트 작업의 예상 동작을 검증할 수 있습니다. 이 기능은 입력 작업과 예상 출력(예: PR 생성)을 정의한 YAML 파일을 기반으로 CLI의 행동을 테스트하는 데 유용하며, 캐시 기능을 통해 반복 테스트 시 성능을 향상시킬 수 있습니다.

다운로드·설치 방법

공식 문서에 따르면, Dependabot CLI는 다음과 같은 방법으로 설치할 수 있습니다:

• Go가 설치되어 있는 경우: go install github.com/dependabot/cli/cmd/dependabot@latest 명령어를 실행하여 최신 버전을 설치할 수 있습니다. 이 방법은 재실행 시 항상 최신 버전으로 업데이트됩니다.
• GitHub 릴리스 페이지에서 사전 빌드된 바이너리를 다운로드하여 사용할 수 있습니다.
• Mac 또는 Linux 환경에서는 Homebrew를 통해 brew install dependabot 로 설치할 수 있습니다.

Windows 사용자의 경우, Go 설치 후 위 go install 명령어를 사용하거나, GitHub 릴리스에서 Windows용 바이너리를 직접 다운받는 방법이 권장됩니다.

기본 사용법/명령어

Dependabot CLI의 기본 사용법은 다음과 같습니다:

• dependabot: 도움말 출력
• dependabot update [package-manager] [repository]: 지정된 패키지 관리자와 저장소에 대한 업데이트 작업 실행
• dependabot update -f job.yaml: 작업 설명 파일을 통해 업데이트 작업 실행
• dependabot test -f smoke-test.yaml: 연기 테스트 파일을 통한 동작 검증
• dependabot completion [shell]: 특정 셸에 대한 자동 완성 스크립트 생성
• dependabot version: 현재 버전 출력

예를 들어, dependabot update go_modules dependabot/cli 명령어는 go_modules 생태계의 dependabot/cli 저장소에 대한 의존성 업데이트를 수행합니다. 또한, --directory 또는 -d 옵션을 통해 저장소의 특정 하위 디렉터리를 대상으로 업데이트 작업을 지정할 수 있습니다.

이런 경우에 유용합니다

이 도구는 소프트웨어 프로젝트의 의존성을 정기적으로 점검하고 최신 버전으로 유지해야 하는 개발자나 DevOps 엔지니어에게 유용합니다. 특히, 보안 취약점이 발견된 라이브러리에 대해 신속하게 업데이트를 적용해야 하는 경우, Dependabot CLI를 통해 영향을 받는 의존성을 식별하고 업데이트 작업을 자동화할 수 있습니다. 또한, 개인 레지스트리나 프라이빗 저장소를 사용하는 환경에서는 작업 설명 파일과 인증 자격 증명을 통해 안전하게 의존성 업데이트를 수행할 수 있습니다.

지원 환경·시스템 요구사항

Dependabot CLI를 사용하기 위해서는 Docker가 설치되어 있고 실행 중이어야 합니다. 이는 CLI가 업데이트 작업을 수행하기 위해 업데이터와 프록시 컨테이너 이미지를 pull하고 실행하기 때문입니다. Docker가 실행되지 않는 경우, failed to pull ghcr.io/dependabot/proxy:latest 와 같은 오류가 발생할 수 있습니다. 따라서 사용 전 docker --version 명령어를 통해 Docker가 정상적으로 설치되고 실행 중인지 확인하는 것이 좋습니다.

최신 버전·업데이트

현재 버전은 1.92.0이며, 최신 소스 코드와 릴리스 정보는 공식 GitHub 저장소에서 확인할 수 있습니다. Go를 통한 설치 시 @latest 태그를 사용하면 항상 최신 버전으로 업데이트됩니다.

제한 사항·확인 사항

Dependabot CLI는 Docker를 필수 요구 사항으로 하므로, Docker가 설치되어 있지 않거나 실행 중이지 않은 환경에서는 사용할 수 없습니다. 또한, 일부 네트워크 환경(예: WSL2)에서 기본 설정으로 API 요청이 실패할 수 있으며, 이 경우 export FAKE_API_HOST=127.0.0.1 환경 변수를 설정하여 우회할 수 있습니다. 이 도구는 PR을 직접 생성하지 않으며, 업데이트 결과를 기반으로 사용자가 별도로 PR을 생성해야 합니다.