Renovate 的 Hermit 管理器私包凭证、Git 凭据透传与嵌套环境配置实战指南【免费下载链接】renovateHome of the Renovate CLI: Cross-platform Dependency Automation by Mend.io项目地址: https://gitcode.com/GitHub_Trending/re/renovate导读本文聚焦 Renovate 中用于管理 HermitCash App 开源的跨平台软件包管理器的hermitmanager系统讲解 Renovate 如何识别仓库内的 Hermit 环境、如何为私有包安装提供HERMIT_GITHUB_TOKEN/GITHUB_TOKEN两种凭证、如何将hostRules中配置的 Git 凭据自动透传给hermit install以及单仓库嵌套 Hermit 环境的支持方式。读完本文你将掌握 Renovate Hermit 组合下的完整配置方法并能结合仓库源码理解其底层实现原理。Hermit manager 在 Renovate 中的定位Hermit 通过将工具如 Go、Node.js、Rust 等以版本化二进制包的形式安装到仓库的bin目录使团队可以为每个仓库锁定一致的开发工具版本。Renovate 为此提供了专门的 manager其入口定义在 lib/modules/manager/hermit/index.ts数据源固定为hermit对应HermitDatasource版本方案固定为hermit版本规则lib/modules/versioning/hermit/默认文件匹配模式为/(^|/)bin/hermit$/即只识别仓库中bin/hermit这一 Hermit 启动器文件默认将**/bin/hermit排除在提交之外见下节导出extractPackageFile、updateDependency、updateArtifacts三个核心钩子。如何发现 Hermit 环境从 lib/modules/manager/hermit/default-config.ts 可以看到 manager 的默认配置export const defaultConfig { managerFilePatterns: [/(^|/)bin/hermit$/], // bin/hermit will be changed to trigger artifact update // but it doesnt need to be committed excludeCommitPaths: [**/bin/hermit], };managerFilePatterns决定 Renovate 将哪个文件视为 Hermit 环境的标志bin/hermit文件。excludeCommitPaths说明一个关键细节升级过程中bin/hermit本身会被改写以触发后续的产物更新artifact update但它不需要被提交因此被排除在 Renovate 生成的提交之外。依赖提取从 bin 目录扫描.pkg文件Hermit 不像 npm、Maven 等有集中的清单文件如package.json、pom.xml它的已安装包以.{packageName}-{version}.pkg形式的引用文件散落在bin目录中。因此 lib/modules/manager/hermit/extract.ts 中的extractPackageFile会以bin/hermit所在目录为根递归读取bin目录下的文件列表用minimatch(.*.pkg)过滤出所有.pkg引用文件解析文件名得到包名与版本解析规则为(?packageName.*?)-(?version[0-9]{1}.*)特别地Hermit 包的版本既可以是具体版本也可以是 Channel通道。当Version为空时提取出的currentValue会以前缀标记 Channel例如stable用以与普通版本区分const version p.Version ? ${p.Channel} : p.Version;最终每个依赖都会被标记为datasource: hermit并交给 Hermit 数据源去查询可用版本。私有包的安装凭证HERMIT_GITHUB_TOKEN 与 GITHUB_TOKENHermit manager 的 readmelib/modules/manager/hermit/readme.md首先强调了一个关键点当通过 Hermit manager 升级私有包时hermit install会依次尝试以下两个环境变量之一来下载私有包HERMIT_GITHUB_TOKEN GITHUB_TOKEN即 Hermit 优先读取HERMIT_GITHUB_TOKEN未设置时回退到通用的GITHUB_TOKEN。在 Renovate 中这两个环境变量可以通过customEnvironmentVariables注入到运行 Renovate 的进程中从而让执行hermit install的子进程继承。典型配置如下{ customEnvironmentVariables: { HERMIT_GITHUB_TOKEN: ghp_xxxxxxxxxxxxxxxx } }或使用通用令牌名{ customEnvironmentVariables: { GITHUB_TOKEN: ghp_xxxxxxxxxxxxxxxx } }提示customEnvironmentVariables是全局/仓库级配置项设置后 Renovate 在运行管理器命令包括hermit install时会把对应的环境变量带入子进程。出于安全考虑建议结合 Renovate 的 secrets 机制或 CI 平台的加密变量来注入令牌值避免明文写死在配置文件中。Git 凭据自动透传hostRules 与 GIT_CONFIG_* 环境变量readme 中另一条重要特性是Git credentials configured inhostRulesare also automatically propagated tohermit installviaGIT_CONFIG_*environment variables. This enables Hermit to fetch packages from private Git repositories without additional configuration.即只要在 Renovate 的hostRules中配置了 Git 凭据这些凭据就会自动以GIT_CONFIG_*环境变量的形式注入hermit install进程使 Hermit 无需额外配置即可从私有 Git 仓库拉取包。在源码层面这一行为由 lib/modules/manager/hermit/artifacts.ts 中的这一行实现const gitExec withGitEnvironment([hermit]);withGitEnvironment来自 lib/util/git/exec.ts会基于hostRules中的凭据构建GIT_CONFIG_*环境变量集合并包裹后续的hermit命令执行。因此你在hostRules中为 GitHub / GitLab / 自建 Git 服务配置的 token 或用户名密码都会在升级私有包时自动生效例如{ hostRules: [ { matchHost: github.com, token: ghp_xxxxxxxxxxxxxxxx } ] }这样配置后Hermit 从私有仓库下载包时无需再单独设置令牌环境变量做到了凭据的“一处配置、多处复用”。单仓库中的嵌套 Hermit 环境readme 明确说明单个仓库内的嵌套 Hermit 环境同样受支持。例如仓库中存在如下结构├bin ├─hermit ├─(other files) ├ ├nested ├─bin ├──hermit ├──(other files)即仓库根目录下有一个 Hermit 环境bin/hermit同时在子目录nested中还有另一个独立的 Hermit 环境nested/bin/hermit。由于默认的managerFilePatterns是/(^|/)bin/hermit$/它能够匹配任意层级的bin/hermit路径因此 Renovate 会分别识别两套环境、分别提取各自的.pkg依赖并独立进行升级。从 lib/modules/manager/hermit/extract.ts 看依赖提取是以每个bin/hermit文件所在目录为基准进行的upath.dirname(packageFile)而 lib/modules/manager/hermit/artifacts.ts 中执行hermit install时也以对应packageFileName所在目录作为cwdFileconst execOptions: ExecOptions { docker: {}, cwdFile: update.packageFileName, };因此嵌套环境下每个 Hermit 环境都会被独立扫描、独立调用各自的./hermit install互不干扰。实践提示如果你在子目录如nested/bin/hermit中使用了不同的包版本管理策略可在packageRules中按matchPaths/matchFiles区分处理例如对nested/**路径单独设置升级策略或enabled开关。升级流程从触发到产物提交Hermit 没有可供 Renovate 直接修改的“包清单文件”因此其升级链路与常规 manager 略有不同可分为三步触发更新updateDependency由于没有清单文件可改lib/modules/manager/hermit/update.ts 的实现是向bin/hermit文件末尾追加一行注释#hermit updated仅追加一次若已存在则不重复追加其目的只是制造一次文件变更以触发后续的 artifact updateconst updateLine #hermit updated; export function updateDependency({ fileContent, upgrade }: UpdateDependencyConfig): string | null { if (!fileContent.endsWith(updateLine)) { return ${fileContent}\n${updateLine}; } return fileContent; }这也解释了default-config.ts中为何要把**/bin/hermit排除出提交——这一触发用的改动不应进入最终 PR。执行安装updateArtifactslib/modules/manager/hermit/artifacts.ts 中的updateHermitPackage会对每个待升级依赖执行./hermit install {name}-{newVersion}若发生包名替换updateType replacement且新旧包名不同则先执行./hermit uninstall {oldName}再安装新包。执行命令时统一走withGitEnvironment([hermit])保证hostRules凭据生效。收集产物getUpdateResulthermit install完成后Renovate 通过getRepoStatus(hermitFolder)对比升级前后的 Git 状态将新增、删除、修改、重命名的.pkg引用文件整理成UpdateArtifactsResult。其中重命名的处理顺序优先——必须先为旧链接创建新版本的链接后续修改才能基于新链接完成见 artifacts.ts 中renamed排在modified、added、deleted之前的注释。如果hermit install失败会抛出UpdateHermitError携带from/to包信息与 stderr/stdoutRenovate 会将其记录为artifactError并在 PR 中反馈错误详情便于排查。私有包数据源让 Renovate 找到你的私有 Hermit 包Hermit 默认从开源项目cashapp/hermit-packages查找包见 lib/modules/datasource/hermit/index.ts 中的defaultRegistryUrls。如果你使用私有包仓库需要按 lib/modules/datasource/hermit/readme.md 的指引完成三步在私有 Hermit 发行版上执行hermit search --json将输出保存为index.json在私有包仓库中发布一个名为index的 GitHub Release并把index.json作为该 Release 的 asset 上传在 CI 中配置流水线在私有包仓库有新提交时重复第 1、2 步。之后通过packageRules为 hermit manager 指定私有 registry{ packageRules: [ { matchManagers: [hermit], defaultRegistryUrls: [ https://github.com/your/private-hermit-packages ] } ] }从源码看HermitDatasource会请求该仓库releases/tags/index对应的 Release找到名为index.json的 asset下载时使用accept: application/octet-stream头以兼容私有仓库 asset 下载解析后按包名匹配Name字段并将Repository字段作为 sourceUrlVersions与Channels合并为候选版本列表。注意数据源目前只支持https://github.com/开头的 registryUrl其他 Git 平台的 registry 会被拒绝源码中会记录Only Github registryUrl is supported警告。同时私有包仓库的数据源下载同样依赖可用的 GitHub 凭据——这正是本文开头HERMIT_GITHUB_TOKEN/GITHUB_TOKEN或hostRules配置的价值所在。实战配置速查将以上内容汇总为一份可直接参考的完整配置示例{ customEnvironmentVariables: { HERMIT_GITHUB_TOKEN: ghp_xxxxxxxxxxxxxxxx }, hostRules: [ { matchHost: github.com, token: ghp_xxxxxxxxxxxxxxxx } ], packageRules: [ { matchManagers: [hermit], defaultRegistryUrls: [ https://github.com/your/private-hermit-packages ] } ] }要点回顾主题关键配置 / 行为依据文件私有包下载凭证customEnvironmentVariables注入HERMIT_GITHUB_TOKEN或GITHUB_TOKENmanager readmeGit 凭据透传hostRules中的凭据经GIT_CONFIG_*自动传给hermit installartifacts.ts 中的withGitEnvironment环境识别默认匹配/(^|/)bin/hermit$/支持任意层级嵌套default-config.ts升级触发向bin/hermit追加#hermit updated注释触发产物更新该文件不提交update.ts私有 registrypackageRules中为matchManagers: [hermit]设置defaultRegistryUrlsdatasource readme小结Renovate 的 Hermit manager 是一个设计上“无清单文件”的特殊管理器它以bin/hermit为识别标志、以.pkg文件为依赖载体通过向启动器追加注释来触发升级再借助hermit install的实际执行与 Git 状态对比完成产物收集。对于私有包场景只需在customEnvironmentVariables中提供HERMIT_GITHUB_TOKEN或GITHUB_TOKEN并在hostRules中配置 Git 凭据即可让 Hermit 在无额外配置的情况下从私有仓库拉取包单仓库内的嵌套 Hermit 环境也会被自动识别并独立管理。【免费下载链接】renovateHome of the Renovate CLI: Cross-platform Dependency Automation by Mend.io项目地址: https://gitcode.com/GitHub_Trending/re/renovate创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考