KuiklyBase 污染上游 coroutines 发布的构建

[Muska-Ami]

如题，如果将腾讯的 maven 镜像源加入配置，将会导致 @dependabot 在检查依赖更新时获取到非官方的 KBA 构建，希望单独处理避免污染上游发布的构建列表。

[bennyhuo]

跟官方版本号有做区分，如果使用官方版本号获取到了我们发布的版本，请提供详细maven坐标我们去排查一下。

…

---原始邮件--- 发件人: ***@***.***> 发送时间: 2025年11月11日(周二) 中午11:11 收件人: ***@***.***>; 抄送: ***@***.***>; 主题: [Tencent-TDS/KuiklyBase-kotlin] KuiklyBase 污染上游 coroutines 发布的构建 (Issue #26) Muska-Ami created an issue (Tencent-TDS/KuiklyBase-kotlin#26) 如题，如果将腾讯的 maven 镜像源加入配置，将会导致 @dependabot 获取到非官方的 KBA 构建，希望单独处理避免污染上游发布的构建列表。 — Reply to this email directly, view it on GitHub, or unsubscribe. You are receiving this because you are subscribed to this thread.Message ID: ***@***.***>

[Muska-Ami]

不是区分不区分的问题，主要是 @dependabot 在处理的时候会根据发布时间，如果你们发布的更新，它就会开 PR 来升级，把官方和非官方版本混合在一起就会导致这种情况了

[bennyhuo]

了解了，抱歉给你带来困扰。 为了方便使用和集成，我们有意保留了官方的maven坐标，只通过版本号来区分，并且始终保持官方版本的版本号更大（例如2.0.21 ＞ 2.0.21-KBA-010），确保官方的版本号始终是更新的版本号。计算新版本使用版本号比较规则，这也是 Gradle 和 Maven 的计算逻辑。 使用发布时间也许是 @dependabot 的逻辑问题？我们这边没有很好的办法帮你解决哈

…

--------------原始邮件-------------- 发件人："夏沫花火zzz ***@***.***>; 发送时间：2025年11月11日(星期二) 中午12:14 收件人："Tencent-TDS/KuiklyBase-kotlin" ***@***.***>; 抄送："Benny Huo ***@***.***>;"Comment ***@***.***>; 主题：Re: [Tencent-TDS/KuiklyBase-kotlin] KuiklyBase 污染上游 coroutines 发布的构建 (Issue #26) ----------------------------------- Muska-Ami left a comment (Tencent-TDS/KuiklyBase-kotlin#26) ***@***.***在处理的时候会根据发布时间，如果你们发布的更新，它就会开 PR 来升级，把官方和非官方版本混合在一起就会导致这种情况了 — Reply to this email directly, view it on GitHub, or unsubscribe. You are receiving this because you commented.Message ID: ***@***.***>

[Muska-Ami]

为何不将修改的版本发布到不同于官方版本的包名呢？这样就可以避免混合带来的各种意外情况了

[bennyhuo]

修改 group id 我们其实还好，但会给使用侧带来很大的麻烦，这块儿前期也做了不少调研，就不展开细说了。都是坑。。。

腾讯的镜像仓库代理的私仓优先级是最低的，理论上拉取 meta.xml 应该是有限 maven 中央仓库的，方便的话可以把你的项目地址发一下，回头有空了看看你的配置

[Muska-Ami]

私有仓库不是很方便发，我们这边是直接配置为

allprojects {
    repositories {
        maven("https://mirrors.huaweicloud.com/repository/maven/")
        maven("https://mirrors.cloud.tencent.com/maven/")
        maven("https://maven.aliyun.com/repository/public/")
        mavenCentral()
    }
}

如果有仅镜像 maven 仓库而不包含私库的地址的话理论上就可以解决这个问题了，目前要解决的话貌似只能移除腾讯源

dependabot.yml

version: 2
updates:
  - package-ecosystem: "gradle"
    directory: "/"
    schedule:
      interval: "weekly"

[bennyhuo]

查了一下文档，也许你可以配置一下 dependabot 来忽略我们发布的版本（例如 Kotlin 是 2.0.21-KBA-*，其实受限于人力，我们也不太会经常发版本）：https://docs.github.com/en/code-security/dependabot/dependabot-version-updates/controlling-dependencies-updated#ignoring-specific-versions-or-ranges-of-versions

试试看，我们这边确实不太方便调整哈。

[Muska-Ami]

Dependabot 的 ignore 逻辑不支持正则表达，只能使用比如 >= <= ~> ^ 这种表达或 Maven 的 [1.0, 2.0) 这种方式，以及提供了一个忽略次要版本的选项，目前这个版本号格式貌似不可能匹配的了