Scandar und Dependabot
Beide enden bei einem Pull Request. Dependabot ist der, den GitHub schon ausführt. Scandar ist der, der deine Lockfile liest und wartet, bis du die Pakete wählst.
Informationen geprüft am 25. Oktober 2026; Pläne ändern sich, sieh auf deren Website nach. Die Dependabot-Zellen wurden mit GitHubs Dokumentation zu Dependabot-Sicherheitsupdates abgeglichen.
| Scandar | Dependabot | |
|---|---|---|
| Wo es läuft | Ein Node-Prozess, den du hostest. Postgres bleibt auf dieser Maschine. | Auf GitHub. Du musst nichts selbst betreiben. |
| Was es liest | Die Lockfile, die schon im Repository liegt. | Warnungen decken den Abhängigkeitsgraphen ab. Sicherheitsupdates laufen für Abhängigkeiten, die in einem Manifest oder einer Lockfile stehen. |
| Advisories | OSV.dev. Doppelte IDs aus GHSA und den Ökosystem-Datenbanken werden zusammengeführt. | GitHub kann bei einer Schwachstelle warnen, die in einer GitHub Security Advisory offengelegt wurde. |
| Der Pull Request | Aus der App geöffnet, für die gewählten Pakete. Major-Sprünge sind anfangs abgewählt. | Mit aktiven Sicherheitsupdates öffnet Dependabot einen Pull Request zur minimal gepatchten Version. Versionsupdates sind eine eigene Funktion. |
| Lockfile neu schreiben | npm, pnpm und Yarn Classic. Yarn Berry wird gescannt, nicht neu erzeugt. | Bei npm kann Dependabot eine explizite Abhängigkeit auch dann aktualisieren, wenn das ein Elternpaket ändert oder eine Unterabhängigkeit entfernt. Bei anderen Ökosystemen aktualisiert es keine indirekte Abhängigkeit, wenn sich auch das Elternpaket ändern muss. |
| Andere Ökosysteme | Python (ohne Pipfile.lock), Go, Rust, PHP und Ruby lassen sich neu erzeugen, wenn das Tool auf dem Server installiert ist. Sonst bleibt der Fix aufgeführt, und es wird kein Pull Request geöffnet. | GitHub dokumentiert die unterstützten Ökosysteme auf einer eigenen Seite. Diese Notiz wiederholt keine Liste, die sie nicht erneut gelesen hat. |
| Eine Advisory ignorieren | Ein Grund, eine Notiz und ein Ablauf von 30 Tagen bis für immer. Danach kommt sie zurück. | Eine dependabot.yml kann Zeitpläne, Pull-Request-Einstellungen und zu überwachende Abhängigkeiten festlegen. |
| Mergen | Squash-Merge in der App. Abgelehnt bei Konflikten, fehlgeschlagenen Checks oder Branch-Schutz. | Du mergst den Pull Request auf GitHub. |
Wann Dependabot das richtige Tool ist
Dependabot ist schon auf dem Repository. Warnungen erscheinen im Tab Security, und Sicherheits-Pull-Requests brauchen weder einen Server noch eine eigene GitHub App noch npm auf einer Maschine, die du betreibst. Versionsupdates folgen einem eigenen Zeitplan, committet als dependabot.yml.
Wenn das Ziel „GitHub öffnet den Pull Request, und ich prüfe ihn“ ist, schafft Dependabot das ohne weitere App dazwischen.
Was Scandar zu einer Lockfile hinzufügt
Scandar sieht nur die Repositories, auf denen die GitHub App installiert ist. Es analysiert die Lockfile im Baum, fragt OSV.dev und zeigt einen Fix-Plan, bevor etwas gepusht wird. Direkte Bereiche wechseln zu ^fixed. Transitive Pakete werden mit Overrides, pnpm.overrides oder Yarn-resolutions gepinnt. Die Lockfile wird in einem temporären Verzeichnis mit deaktivierten Paket-Skripten neu erzeugt.
Python (außer Pipfile.lock), Go, Rust, PHP und Ruby lassen sich neu erzeugen, wenn das Tool des Ökosystems auf dem Server installiert ist. Sonst bleibt die behobene Version aufgeführt, und für diese Lockfile wird kein Pull Request geöffnet.
Was du weiterhin selbst machst
Nichts landet auf dem Standard-Branch, bis du mergst. Der Squash-Merge aus der App wird abgelehnt, wenn der Pull Request Konflikte hat, Checks fehlschlagen oder der Branch-Schutz blockiert. Eine ignorierte Advisory verschwindet bis zum gewählten Ablauf aus Summen, Fixes, Benachrichtigungen und dem Scandar-Check.
Der Rest des Produkts ist lokal in diesem Prozess: ein 90-Tage-Verlauf, npm-Paketgesundheit, CycloneDX- und SPDX-Exporte, ein README-Badge, Slack- oder Discord-Webhooks und ein Check namens Scandar auf Pull Requests in verfolgten Repositories.