Scandar e Dependabot
Entrambi finiscono con una pull request. Dependabot è quello che GitHub esegue già. Scandar è quello che legge il tuo lockfile e aspetta che tu scelga i pacchetti.
Informazioni verificate il 25 ottobre 2026; i piani cambiano, controlla il loro sito. Le celle su Dependabot sono state verificate nella documentazione di GitHub sugli aggiornamenti di sicurezza Dependabot.
| Scandar | Dependabot | |
|---|---|---|
| Dove gira | Un processo Node che ospiti tu. Postgres resta su quella macchina. | Su GitHub. Non devi eseguire nulla. |
| Cosa legge | Il lockfile già presente nel repository. | Gli avvisi coprono il grafo delle dipendenze. Gli aggiornamenti di sicurezza riguardano le dipendenze nominate in un manifest o lockfile. |
| Avvisi | OSV.dev. Gli id duplicati di GHSA e dei database degli ecosistemi vengono uniti. | GitHub può inviare un avviso per una vulnerabilità divulgata da un avviso di sicurezza GitHub. |
| La pull request | Aperta dall'app, per i pacchetti selezionati. Gli aggiornamenti major partono deselezionati. | Con gli aggiornamenti di sicurezza attivi, Dependabot apre una pull request verso la versione corretta minima. Gli aggiornamenti di versione sono una funzionalità separata. |
| Riscrivere il lockfile | npm, pnpm e Yarn classic. Yarn Berry viene scansionato ma non rigenerato. | Per npm, Dependabot può aggiornare una dipendenza esplicita anche se cambia un genitore o rimuove una sotto-dipendenza. Per altri ecosistemi non aggiorna una dipendenza indiretta se deve cambiare anche il genitore. |
| Altri ecosistemi | Python (non Pipfile.lock), Go, Rust, PHP e Ruby si possono rigenerare se lo strumento è installato sul server. Altrimenti la correzione resta indicata e non viene aperta alcuna pull request. | GitHub documenta gli ecosistemi supportati in una pagina separata. Questa nota non ripete un elenco che non ha riletto. |
| Ignorare un avviso | Un motivo, una nota e una scadenza da 30 giorni a per sempre. Torna alla fine. | Un file dependabot.yml può impostare pianificazioni, opzioni delle pull request e dipendenze da monitorare. |
| Unione | Unione con squash nell'app. Rifiutata con conflitti, controlli falliti o protezione del branch. | Unisci la pull request su GitHub. |
Quando Dependabot è lo strumento giusto
Dependabot è già sul repository. Gli avvisi compaiono nella scheda Security, e le pull request di sicurezza non richiedono un server, una GitHub App tua o npm su una macchina che gestisci. Gli aggiornamenti di versione seguono una pianificazione separata, committata in dependabot.yml.
Se l'obiettivo è “GitHub apre la pull request e io la rivedo”, Dependabot lo fa senza un'altra app in mezzo.
Cosa aggiunge Scandar a un lockfile
Scandar vede solo i repository su cui è installata la GitHub App. Analizza il lockfile nell'albero, interroga OSV.dev e mostra un piano di correzione prima di qualsiasi push. Gli intervalli diretti passano a ^fixed. I pacchetti transitivi vengono fissati con overrides, pnpm.overrides o le resolutions di Yarn. Il lockfile viene rigenerato in una cartella temporanea con gli script dei pacchetti disattivati.
Python (tranne Pipfile.lock), Go, Rust, PHP e Ruby si possono rigenerare se lo strumento di quell'ecosistema è installato sul server. Altrimenti la versione corretta resta indicata e non viene aperta alcuna pull request per quel lockfile.
Cosa fai ancora tu
Nulla arriva sul branch predefinito finché non unisci. L'unione con squash dall'app viene rifiutata se la pull request ha conflitti, i controlli falliscono o la protezione del branch la blocca. Un avviso ignorato esce da totali, correzioni, notifiche e controllo Scandar fino alla scadenza scelta.
Il resto del prodotto è locale a quel processo: una cronologia di 90 giorni, la salute dei pacchetti npm, esportazioni CycloneDX e SPDX, un badge README, webhook Slack o Discord e un controllo chiamato Scandar sulle pull request dei repository seguiti.