用途：Dependabot 通过创建拉取请求（PR）让依赖保持安全与最新，原生集成于 GitHub。适用于自动更新 npm、pip、Maven、Cargo、Go modules、Docker 镜像等依赖，修复已知 CVE 漏洞，按 SemVer 分组次要/补丁更新以减少审查疲劳，以及扫描私有 npm 或 NuGet 包注册表。
主要能力：通过声明式 .github/dependabot.yml 清单配置生态目标、调度、目录与分组策略；支持安全更新（GitHub Advisory Database 出现 CVE 告警时自动触发）与版本更新（按计划检查并升级到最新稳定版）两种模式；可通过 registries 注入私有制品库与 npm 注册表凭据；支持 GitHub Actions 工作流版本跟踪。
使用方式：在仓库添加 .github/dependabot.yml，指定 package-ecosystem、directory、schedule.interval，并用 groups 聚合更新。示例：version: 2；updates 下配置 package-ecosystem: "npm"、directory: "/"、schedule.interval: "weekly"、groups.dependencies.patterns: ["*"]。安全更新自动触发，版本更新可通过 open-pull-requests-limit: 0 限制。私有注册表示例：registries.enterprise-npm 配置 type: npm-registry、url: https://npm.pkg.github.com、token: ${{ secrets.DEPENDABOT_NPM_TOKEN }}。
适用场景：需要持续维护依赖安全与版本更新的 GitHub 仓库，尤其是多生态、含私有包或希望减少 PR 噪音的团队。
限制与注意：每日调度易造成 PR 泛滥，生产依赖建议每周或分组；重大版本升级可能引入破坏性 API 变更，不应未经手动回归测试直接合并；需确保 CI/CD 状态检查通过；合并冲突可用 @dependabot rebase 处理；无 PR 时可在 Insights -> Dependency Graph 的 Dependabot 标签页排查。具体收费、价格与平台细节暂未提供。