如何为含可复用工作流的私有仓库配置GitHub Dependabot？

由于个人GitHub账号默认不支持Dependabot访问私有仓库的依赖，你可以通过配置私有Git注册表来解决这个问题，具体操作步骤如下：

1. 创建具备仓库访问权限的个人访问令牌（PAT） #

• 登录GitHub，进入「Settings > Developer settings > Personal access tokens > Tokens (classic)」
• 点击「Generate new token」，勾选repo权限（仅需此权限即可访问私有仓库），设置合适的过期时间后生成令牌
• 复制生成的令牌并妥善保存（令牌仅会显示一次，丢失后需重新生成）

2. 在项目仓库中添加令牌作为机密 #

• 打开project-repo仓库，进入「Settings > Secrets and variables > Actions > New repository secret」
• 机密名称设为DEPENDABOT_PRIVATE_REPO_TOKEN，值粘贴刚才生成的PAT，点击「Add secret」保存

3. 配置dependabot.yml文件 #

在project-repo的.github/dependabot.yml文件中添加Git注册表配置，示例如下：

version: 2
updates:
  # 针对GitHub Actions的更新配置
  - package-ecosystem: "github-actions"
    directory: "/"
    schedule:
      interval: "weekly"
    # 指定使用私有Git注册表
    registries:
      - private-workflows-registry

# 定义私有Git注册表
registries:
  private-workflows-registry:
    type: "git"
    # 替换为你的私有仓库地址（HTTPS格式更易配置）
    url: "https://github.com/你的GitHub用户名/private-workflows.git"
    # 你的GitHub用户名
    username: "你的GitHub用户名"
    # 引用之前添加的机密令牌
    password: "${{ secrets.DEPENDABOT_PRIVATE_REPO_TOKEN }}"
    # 替换默认的GitHub注册表，确保Dependabot用此配置访问私有仓库
    replaces-base: true

配置说明： #

• type: "git"：声明这是一个Git类型的注册表
• url：填写你的private-workflows仓库的HTTPS地址，避免SSH密钥配置的复杂度
• password：使用之前添加的机密令牌，让Dependabot有权限访问私有仓库
• replaces-base: true：让这个私有注册表替代默认的GitHub公共注册表，确保Dependabot处理私有仓库的依赖时使用正确的权限

4. 验证配置 #

• 将修改后的dependabot.yml提交到project-repo
• 手动触发Dependabot更新：进入仓库的「Insights > Dependency graph > Dependabot」，点击「Check for updates」
• 查看Dependabot的运行日志，确认是否成功访问private-workflows仓库并完成依赖更新

内容的提问来源于stack exchange，提问作者Rüdiger Schulz