用途：指导在 GitHub 仓库中配置和管理 Dependabot，用于依赖漏洞告警、安全更新自动 PR 和版本更新自动 PR。所有配置集中在默认分支的 .github/dependabot.yml 单文件中，GitHub 不支持每仓库多个该文件。
主要能力：支持 npm、pip、uv、docker、github-actions、gomod、bundler、cargo、composer、nuget、maven、gradle、terraform、helm 等多种生态；可用 directories 配合 glob 覆盖 monorepo；支持按依赖类型或名称模式分组、跨目录 group-by: dependency-name、多生态分组 multi-ecosystem-groups；可自定义标签、提交信息前缀、指派人与里程碑、目标分支；调度支持 daily/weekly/monthly/quarterly 及 cron，并可设置 cooldown 延迟新版本；支持 ignore/allow 规则、exclude-paths、版本策略、rebase 策略、私有 registry 等。
使用方式：先扫描仓库识别依赖清单与目录，再为每个生态写 updates 条目，至少包含 package-ecosystem、directory 与 schedule.interval。安全更新需在仓库 Settings → Advanced Security 中启用。PR 可用 @dependabot rebase、recreate、ignore 等评论命令交互；自 2026 年 1 月起 merge/close/reopen 命令已弃用，改用 GitHub 原生 UI、gh pr merge 或 auto-merge。
限制：directory 单数不支持 glob，需用 directories；cooldown 仅作用于版本更新；设置 target-branch 后安全更新仍指向默认分支；allow 与 ignore 同时匹配时以 ignore 为准；多生态分组必须提供 patterns。
AI 代理场景：可借助 GitHub MCP Server 的 dependabot 工具集在提交前扫描依赖，安装 Advanced Security 插件后使用 /dependency-scanning；Copilot CLI 可用 copilot --add-github-mcp-toolset dependabot 启用。