dependabot

GitHub 原生依赖更新

补充说明

Dependabot 由 GitHub 托管，按 .github/dependabot.yml 定期检查依赖并创建升级 PR。它分版本更新和安全更新两类，安全更新也可在仓库安全设置里单独开启。

常用示例

mkdir -p .github
cat > .github/dependabot.yml <<'YAML'
version: 2
updates:
  - package-ecosystem: npm
    directory: /
    schedule:
      interval: weekly
    open-pull-requests-limit: 5
    groups:
      dev-dependencies:
        dependency-type: development
  - package-ecosystem: github-actions
    directory: /
    schedule:
      interval: monthly
YAML

PR 里的交互命令：

@dependabot rebase
@dependabot recreate
@dependabot merge
@dependabot ignore this minor version

易错点与排错

• 配置文件必须叫 .github/dependabot.yml；放在别处不会被读取。
• directory 要指向清单文件所在目录；monorepo 需要为每个包分别配置。
• package-ecosystem 名称写错会静默不生效；按官方支持列表填写。
• 版本更新和安全更新是两套机制；只配了版本更新不代表安全告警会自动修。
• open-pull-requests-limit 会限制同时打开的 PR 数；调太小会延迟更新。
• 分组（groups）能减少 PR 噪音，但一组里有一个不兼容就会整组失败。
• 私有 registry 要配置访问权限；否则依赖检查会失败或不完整。
• 自动合并前必须有 CI；Dependabot 的 PR 同样需要测试和审查。

相关命令

• renovate — 更可配置的依赖更新工具
• gh — 查看 Dependabot 告警
• github-actions — CI 验证升级