依赖更新机器人是什么

依赖更新机器人自动提交依赖升级 PR：读取包管理清单与锁文件，发现新版本或安全公告后开 PR，CI 通过即可合并。它把「依赖升级」从季度大工程变成持续小节奏。Dependabot 是 GitHub 原生能力，与安全公告联动；Renovate 跨平台、规则表达力更强（分组、排期、按类型自动合并）。用好它的关键是设计更新节奏：频率、分组、并发上限、自动合并范围四件事定好，机器人才不会变成 PR 噪声源。

基本信息

典型使用场景

• 安全修复直通车：公告触发的高危升级走优先通道，快速合并发布。
• 补丁与小版本聚合：把一批非破坏性升级分组合并成一个 PR，减少评审次数。
• 大版本升级：单独开 PR、人工评估迁移指南，不放入自动合并范围。
• 私有依赖源：配置私有 registry 凭据，内部包也能被检查与更新。
• 过期 PR 清理：定期关闭长期未合的机器人 PR，减少噪声、保持列表干净。

Renovate 片段

{
  "extends": ["config:recommended"],
  "packageRules": [
    {"matchUpdateTypes": ["patch", "minor"], "groupName": "non-major"}
  ]
}

Dependabot 片段

version: 2
updates:
  - package-ecosystem: npm
    directory: /
    schedule:
      interval: weekly
    open-pull-requests-limit: 5

工具对比