如何配置Dependabot适配非语义化版本并仅监控补丁更新？

针对你遇到的IBM Semeru Runtime镜像版本（带open-前缀和-jre后缀）无法通过评论命令限制主版本更新的问题，直接在Dependabot配置文件里做全局规则限定是最可靠的方案，具体操作如下：

• 修改.github/dependabot.yml配置文件
  在Docker生态系统的配置块中，针对目标镜像添加版本约束和更新类型限制，让Dependabot只推送补丁版本更新：

  version: 2
  updates:
    # 保留你原有的Maven配置
    - package-ecosystem: "maven"
      directory: "/"
      schedule:
        interval: "daily"
    # 配置Docker镜像的更新规则
    - package-ecosystem: "docker"
      directory: "/"
      schedule:
        interval: "daily"
      allow:
        - dependency-name: "ibm-semeru-runtimes"
          update-types: ["patch"]
          version_requirement: "~21.0"
      versioning-strategy: "semantic-version"
  

  配置说明：

  • update-types: ["patch"]：强制只允许补丁版本更新，拒绝主版本、次版本升级
  • version_requirement: "~21.0"：明确锁定主版本为21，只更新21.x系列的小版本/补丁
  • versioning-strategy: "semantic-version"：让Dependabot自动从带前缀后缀的版本号中提取核心语义化版本（比如从open-21.0.3_9-jre识别出21.0.3）

• 为什么评论命令无效？
  因为你的镜像版本不符合标准语义化格式，Dependabot无法正确解析open-22.0.1_8-jre属于主版本升级，所以@dependabot ignore this major version这类命令无法触发预期效果，通过配置文件预先设定规则才是更稳妥的方式。

内容的提问来源于stack exchange，提问作者banterCZ