本文目录导读：
是的，Dependabot 是 GitHub 官方提供的自动化依赖更新工具，非常适合用于 Python 项目，它可以自动检查你的依赖（如 requirements.txt、Pipfile 或 pyproject.toml）是否有新版本，并创建 Pull Request（PR）来更新它们。
如何使用 Dependabot 更新 Python 依赖
基本配置（推荐方式）
在仓库根目录创建 .github/dependabot.yml 文件,写入以下内容：
version: 2
updates:
- package-ecosystem: "pip" # Python 的包管理器
directory: "/" # 依赖文件所在目录（通常为根目录）
schedule:
interval: "weekly" # 检查频率：daily, weekly, monthly
open-pull-requests-limit: 10 # 同时打开的 PR 数量上限
针对不同包管理器的配置
- requirements.txt：默认支持，直接放置在 目录下。
- Pipfile / Pipfile.lock：同上，Dependabot 会自动识别。
- pyproject.toml（Poetry 或 PEP 517/518）：需要确保文件格式标准，Dependabot 也支持（>=2023年已增强支持）。
高级配置示例
version: 2
updates:
- package-ecosystem: "pip"
directory: "/"
schedule:
interval: "daily"
# 忽略某些包的更新
ignore:
- dependency-name: "numpy"
versions: [">=2.0.0"]
# 允许包版本范围限制
versioning-strategy: increase-if-necessary
# 只更新 patch 版本
target-branch: "main"
Dependabot 的优点
- 零配置：GitHub 仓库自动启用（可手动关闭）。
- 自动创建 PR：每个依赖更新一个 PR,包含更新说明。
- 安全性更新：会额外针对已知漏洞的安全更新（如 GitHub Advisory Database）。
- 与 CI/CD 集成：PR 创建后自动触发你的测试流程。
何时考虑替代方案？
虽然 Dependabot 很方便,但有些场景可能需要其他工具：
| 场景 | 推荐工具 | 原因 |
|---|---|---|
| 需要更细粒度的分组更新 | Renovate | Dependabot 默认每个依赖一个 PR，Renovate 可以合并多个更新 |
| 自托管仓库（非 GitHub） | Renovate | 支持 GitLab、Bitbucket、Gitea 等 |
| 需要更复杂的规则（如只更新 dev 依赖） | Renovate / pip-chill | Dependabot 配置相对简单 |
| 需要预构建测试矩阵 | pip-audit + pip-compile | 更灵活的依赖锁定和审计 |
- 如果你用 GitHub 且依赖管理文件是
requirements.txt、Pipfile或pyproject.toml→ 用 Dependabot 是最省心的选择。 - 如果你需要更灵活的分组、自托管或非 GitHub 平台 → 可以考虑 Renovate（目前功能最全的开源替代）。
- 如果只关心安全性更新 → Dependabot 安全相关的更新会自动启用,无需额外配置。
建议先在测试仓库中试用 Dependabot，直接添加 .github/dependabot.yml 即可，几分钟后就能看到第一个依赖更新 PR。
