Dependabot 不自动合并 PR，仅创建更新请求；Go 项目必须配置 package-ecosystem: "gomod" 且启用 Dependency Graph，否则静默失效；主版本升级需显式允许，CI 失败后需手动修复。
Dependabot 本身不“自动提交”更新到你的主分支，它只自动创建 Pull Request；是否合并、何时合并、是否需要人工审查，全由你控制。这是设计使然，不是配置缺失或权限问题。
dependabot.yml 必须包含 package-ecosystem: "gomod"
Go 项目依赖由 go.mod 文件定义，Dependabot 识别 Go 生态系统的唯一合法值是 "gomod"（注意不是 "go"、"golang" 或 "modules"）。写错会导致 Dependabot 完全忽略你的 Go 依赖，且不报错、不提示 —— 日志里只会静默跳过。
-
package-ecosystem是必填字段，值必须严格为"gomod" -
directory必须指向含go.mod的路径，如根目录就写"/"，后端子模块就写"/backend" - 不要在
updates块外写package-ecosystem，YAML 缩进错误会让整个配置失效
Go 依赖更新默认只做 patch/minor，大版本需显式放行
Dependabot 对 Go 模块遵循语义化版本规则，但它的默认行为比 npm 或 pip 更保守：它不会主动提议 v2+ 主版本升级，哪怕 go list -u -m all 显示有 [v2.0.0]。这是因为 Go 要求主版本变更必须体现在导入路径中（如 github.com/example/lib/v2），Dependabot 不会重写代码。
- 若想允许 minor 更新（如
v1.5.0 → v1.6.0），无需额外配置，默认开启 - 若想允许 patch 更新（如
v1.5.1 → v1.5.2），也默认开启 - 若要尝试主版本升级，必须在
ignore中反向排除限制：update-types: ["version-update:semver-major"]不能写在 ignore 里，而应确保它 *没被 ignore* - 更稳妥的做法是先用
ignore锁定高风险模块：- dependency-name: "rsc.io/sampler" versions: ["v1.3.0"]
仓库必须启用 Dependency Graph，否则 Dependabot 不扫描
Dependabot version updates 严重依赖 GitHub 的 Dependency Graph 功能。如果该图未启用，即使 .github/dependabot.yml 完全正确，Dependabot 也不会触发任何检查 —— 且 GitHub UI 不会给出明确错误提示，只显示 “No dependabot alerts” 或 “Last checked: never”。
初始化并管理阿里云SDK Go 客户端，涵盖 sync.Once 单例、goroutine 安全、endpoint 与 region 配置、VPC 端点及调试。
立即学习“go语言免费学习笔记（深入）”；
- public 仓库默认开启 Dependency Graph；private 仓库需手动开启：Settings → Code security and analysis → Dependency graph → Enable
- 确认已开启后，等待几分钟，再访问
Security → Dependency graph页面，看到解析出的go.mod节点才算生效 - 如果仍不工作，去
Settings → Security & analysis → Dependabot alerts查看是否有 “Dependabot is not enabled for this repository” 提示
CI 测试失败时，Dependabot PR 会挂起，但不会自动重试
Dependabot 创建的 PR 会触发你配置的 CI 流程（如 GitHub Actions）。一旦测试失败（比如 go test ./... 报错），PR 就会卡在 “Checks failed” 状态，Dependabot 不会自动重试、不会自动关闭、也不会降级版本重发 —— 它把决策权完全交还给你。
- 常见失败原因：新版本引入了不兼容的 API、
go.sum校验失败、或测试依赖了已移除的内部函数 - 修复方式只能是：手动 checkout 该 PR 分支 → 本地运行
go test ./...→ 定位失败点 → 修改代码或调整ignore规则 → git push 强制更新 PR - 不要期望 Dependabot “智能回退”，它没有状态记忆，每次扫描都是独立决策
最易被忽略的一点：Dependabot 对 Go 的支持完全基于静态分析 go.mod，它不执行 go build 或 go list，因此无法感知 // indirect 依赖的真实使用情况，也无法判断 replace 指令是否让某个模块实际不可达。这意味着你看到的 PR，可能更新的是一个早已被 replace 掉、根本不会参与构建的模块。
