renovate

自动化依赖更新工具

补充说明

Renovate 扫描仓库中的依赖文件，按计划创建升级 PR，并可选自动合并。它支持 npm、pip、Go modules、Docker、GitHub Actions 等大量管理器，通常以 GitHub App 或自托管方式运行。

常用示例

npx renovate --dry-run
npx renovate --log-level=debug
npx renovate-config-validator
LOG_LEVEL=debug npx renovate

renovate.json：

{
  "$schema": "https://docs.renovatebot.com/renovate-schema.json",
  "extends": ["config:recommended"],
  "schedule": ["before 6am on monday"],
  "packageRules": [
    {
      "matchUpdateTypes": ["minor", "patch"],
      "matchCurrentVersion": "!/^0/",
      "automerge": true
    }
  ],
  "lockFileMaintenance": {
    "enabled": true
  }
}

易错点与排错

• --dry-run 只打印计划，不创建 PR；先确认要改哪些依赖。
• token 权限不足会表现为看不到仓库或无法开 PR；GitHub App 和 PAT 的权限模型不同。
• onboarding PR 未合并时配置可能不生效；先检查仓库里是否有 Renovate 的初始 PR。
• config:recommended 会继承大量默认规则；项目特殊策略要显式覆盖。
• automerge 只对通过测试的更新安全；没有 CI 或测试覆盖时不要全量开启。
• 0.x 版本和 peer 依赖的升级风险更高；用 packageRules 单独限制。
• 调度使用配置的时区；跨时区团队要确认 timezone。
• 自托管要处理并发、缓存和 GitHub 速率限制；大规模仓库分批运行。

相关命令

• dependabot — GitHub 原生依赖更新
• github-actions — CI 验证升级
• gitlab-ci — GitLab 流水线