Dependabot 与 Renovate 自动依赖升级策略与审批流治理实践

正文自动升级工具能显著降低依赖维护成本，但需要结合分组、频率与审批流来控制风险。本文提供 Dependabot 与 Renovate 的配置示例与治理建议。一、Dependabot 配置version: 2 updates: - package-ecosystem: npm directory: / schedule: interval: weekly open-pull-requests-limit: 10 allow: - dependency-type: production ignore: - dependency-name: react versions: ["<19"] 二、Renovate 配置{ "extends": ["config:recommended"], "rangeStrategy": "replace", "packageRules": [ { "matchPackagePatterns": ["^next$", "^react"], "groupName": "framework-core", "schedule": ["on the first day of the month"] }, { "matchUpdateTypes": ["minor", "patch"], "groupName": "safe-updates", "automerge": false } ], "timezone": "Asia/Shanghai" } 三、审批与发布治理频率与窗口：为核心框架设置月度窗口；安全修补设为每周窗口。分组与标签：将框架核心与工具链分组，标注风险等级与测试范围。审批流：所有升级经 CI 通过后需至少双人评审与环境验证方可合入与发布。