Dependabot

dependabot-core 发布 v0.403.0：新增 Python 3.15 支持；为 Go modules、pub、pre-commit、NuGet、Bazel、vcpkg、Nix、Elm、Hex、Composer、Swift、Julia 等生态的 specs 启用 Sorbet 静态类型检查；修复 docker 多下划线版本组解析报错、terraform 更新 provider 无 lockfile 条目时崩溃、opentofu 仅锁定新 provider 版本发布的平台、helm 向 registry 请求不含主机名的镜像路径、python/uv 避免误匹配同一包更长声明等问题；julia 改用 Pkg 解析 manifest 并在 PR 中报告 stdlib 版本；NuGet 并发获取 release notes 与包 URL；github_actions 为 pinned-ref 克隆失败赋予稳定指纹。

dependabot-core 发布 v0.402.0：新增 apm（Agent Package Manager）lockfile 再生成并将依赖 pin 到 commit SHA；Bun 工作区依赖安装/更新改用 --filter 限定范围，并分类 registry 与工作区失败、容忍裸 JSON；pnpm 分类此前呈现为未知错误的失败并处理 monorepo 中不可读版本、release-age 错误与旧 lockfile；github_actions 支持新的 gh-actions-lock 发现、忽略本地 action 并更新 CRLF 换行文件声明；go_modules 工作区更新后运行 go list -m all；uv 允许仅 lockfile 更新传递依赖；升级 Python 3.14/3.13 与 uv 0.13.5 修复 eMudhra 安全公告；另有 npm/Yarn、Gradle、Bundler、composer、bazel、helm、nix、Docker 等多生态解析与错误分类修复。

dependabot-core 发布 v0.401.0：npm_and_yarn 分三步升级到 NPM 12.x.x；NuGet 惰性校验候选兼容性并在兼容检查前先过滤候选、容忍已存在的无效 PR 版本；Gradle 支持解析 Kotlin DSL 与带括号的 dependencySet 条目；hex 仓库支持配置公共密钥；Bun 更新 catalog 依赖；github_actions 传递 home 主机名给 gh-actions-lock 并从 composite action 目录重锁 actions.lock；修复安装 Dependabot CLI 时 Go toolchain 选择；julia 安装重试 juliaup 并仅显示一次 stdlib <0.0.1 注释；为大量生态启用 Sorbet 静态类型检查。

dependabot-core 发布 v0.400.0：新增加 apm（Agent Package Manager）生态支持，为 AI Agent 工作流补齐依赖更新能力；Bun 1.4 与 lockfile 版本 2/3 获得 lockfile 兼容升级；Maven 仅在 requirements 可写时提议更新，并将传递依赖树扫描置于 maven_transitive_dependencies 开关下稳定化；对 update-types 校验拒绝的分组 PR 成员改为单独建 PR 继续跟进；另有 Python registry 分发元数据强类型化、pnpm 11→12 升级启动、julia stdlib compat 条目在 PR 中解释 <0.0.1 下限等改进与错误分类优化。

dependabot-core 发布 v0.399.0：依赖更新时尊重 npm engines 版本约束；安全更新被依赖冲突阻止时改为记录冲突依赖日志（原上报方案先行回滚后以日志方式落地）；从编译生成的需求文件索引 URL 中清除凭证防泄漏；修复 Maven dependencyManagement 注入时 POM 格式保留；julia 处理 [extras]、按各自 Julia 解析 Manifest、修复 up-to-date 崩溃并调整 cooldown 与条目顺序；NuGet 跳过缺失传递依赖的更新候选、忽略归一化后的无条件忽略项、按任务缓存包版本列表并新增 dependency-name 子分组；pnpm --no-save 在发布年龄门控下保持可用；为合并队列准备 CI 与 updater 镜像；分组文件操作保留相对初始状态。

dependabot-core 发布 v0.398.0：修复 Pub cooldown 收到 NilClass、Swift PR 使用错误 cooldown 版本等问题，所有版本被忽略时跳过依赖；npm_and_yarn 保留 pnpm catalog 说明符、识别误配为 npm 的 bun.lock、兼容 Yarn 4 peer 警告，corepack 升至 0.36.0；NuGet 忽略缺失 solution 条目并单独分类 API 失败，新增 misconfigured_tooling 错误类型；pub 规范化元数据 URL，uv 经强类型 lockfile 记录读图；升级 poetry 2.4.3、Python 3.14.7、Terraform 1.16.4 等工具链。

dependabot-core 发布 v0.397.0：pnpm 升级到 11.25.0 并新增 pnpm 12 支持，pnpm 12 原生二进制下载改走代理，corepack 安装路径接入私有 registry 环境变量；新增 .zst 格式 nixpkgs tarball 支持；Bun 按 npm 协议前缀检测别名；Julia 按兼容范围推导 stdlib 兼容条目与下限；Bundler 支持基于 Compact Index v2 发布日期的 cooldown，Docker cooldown 改用 registry 元数据；修复 devcontainers 无版本 tag 崩溃、多目录分组共享父依赖更新、Helm 模板镜像 tag 解析、Maven 无定位版本属性更新、Python 无版本说明符 requirements 等问题。

dependabot-core 发布 v0.396.0：新增强类型 package.json 读取器，并在 npm、Yarn、Bun、pnpm 的 lockfile 解析中改用强类型记录；Julia 支持 Pkg 1.13 的 registry_info 并将镜像锁定到 Julia 1.13；修复 Pipenv 本地路径依赖建图、Docker 重复镜像更新与正则元字符匹配问题；uv 跳过固定到永不更新源的依赖；在 package finders 中呈现不可用 cooldown 日期，分组安全更新的诊断与上报逻辑分离；移除已全量推出的功能开关；工具链升级 hcl2json v0.6.9、PowerShell 7.6.5、Yarn 4.18.0、git-shim v1.5.0。

Dependabot 现可免个人访问令牌（PAT）读取私有 GitHub Packages 仓库：其 GITHUB_TOKEN 可申请 packages: read 权限，从 *.pkg.github.com 与 ghcr.io 拉包时自动携带，复用包设置中“Manage Actions access”授予仓库的读权限，无需改 dependabot.yml 并可移除旧 PAT 凭证。该功能曾于 2026-06-23 首发后因导致部分 npm 任务经 GitHub Packages 解析公共包而回滚，本次改为自动凭证仅作回退鉴权、显式凭证与正常路由优先后重新启用，覆盖 Dependabot 支持的全部 GitHub Packages 生态。

Dependabot 核心库 dependabot-core 发布 v0.395.0：修复 Python 包索引不可用时 nil 哈希导致的失败，Maven 遇到不支持的 Wrapper 改为跳过而不再整个任务失败，并修复 Maven 属性需求选择及私有 registry 下 Maven Wrapper 重生成挂起；修复 Gradle 依赖替换升级问题、Helm 标量镜像 tag 更新与尾行丢失、npm 旧式 repository 数组与 pnpm 多文档 lockfile 依赖图解析；Cargo 对 lockstep 系列更新强制 --precise 回退；修复分组 PR 在无目录产生变更时的创建/刷新崩溃，以及 npm 多范围安全公告误报 security_update_not_possible。

Dependabot 核心库 dependabot-core 发布 v0.394.0：正式移除 enable_corepack_for_npm_and_yarn、allow_refresh_group_with_all_dependencies、enable_exclude_paths_subdirectory_manifest_files 等多项功能开关使其行为永久生效；GitHub Actions 更新改为优先 SHA pin 引用；uv 解析 uv.lock 中间接依赖更新、Python 私有 registry 改用 PEP 691 元数据；新增 pyproject/UV/npm/Bun 等强类型 registry 模型并改善 Maven Wrapper/NuGet/Docker 错误处理。

Dependabot 核心库 dependabot-core 发布 v0.393.0：用 Sorbet 强类型化公共运行时/提供方边界、合并 update jobs；修复 Terraform 插值 module 源解析崩溃与 uv 对未发布到 PyPI 项目库检测；npm 保留生成 .npmrc 的目录；修复 github_actions 允许更宽松 semver 更新的回归、Maven cooldown 改用 POM 日期等。

Dependabot 核心库 dependabot-core 发布 v0.392.0：新增 Maven Wrapper 支持，可自动更新 Maven Wrapper 相关依赖；新增 Helm 生态依赖自动升级能力；完善 .NET 全局 global.json 的 NuGet SDK 扫描、修复含空格路径的 git add 命令、为传递 npm/pnpm/yarn 依赖应用发布年龄冷却门控。

Dependabot 核心库 dependabot-core 发布 v0.391.0：GitHub Actions 在 cooldown 过滤掉最新 tag 时保留 ref 精度；Gradle 缺少 Java toolchain 时回退到当前 JVM；修复 Maven fetcher 将 .xml 目录误当作 pom 文件；uv 对所有匹配的 pyproject.toml 索引使用环境变量鉴权；修复 Corepack 对 replaces-base 私有 registry 的签名校验；包详情抓取异常改为优雅处理；新增依赖分组子组命名辅助能力。

Dependabot 新增 pull-request-branch-name 配置项：可在 .github/dependabot.yml 中设置分支名前缀、最大长度、分段与单词分隔符、字母大小写，或用占位符自定义模板，便于适配有命名或长度限制的 CI/CD 与 monorepo。该能力对全部 github.com 用户可用，并将包含在 GitHub Enterprise Server 3.23 中。