如何用Dependabot忽略依赖foo的0.7.6至0.7.8补丁版本范围？

问题背景 #

仓库已启用Dependabot分组更新，依赖foo在0.7.6至0.7.8版本存在bug，其他分组更新一切正常，当前foo版本是0.7.5，需要让Dependabot自动跳过这三个版本的更新请求。

试过以下命令都没达到预期效果：

• @dependabot ignore foo patch version：只忽略0.7.8版本，Dependabot会重新打开0.7.7的PR，得重复执行多次，太麻烦
• @dependabot ignore foo ~0.7.8：无任何回复，完全无效
• @dependabot ignore foo <=0.7.8：同样无效
• @dependabot ignore foo [>= 0.7.6, < 0.7.9]：也不生效

解决方案：修改Dependabot配置文件（最可靠） #

直接在仓库的.github/dependabot.yml里添加针对foo的忽略规则，这比评论命令更稳定，能一次性搞定版本排除。

示例配置（根据你的包生态系统调整，比如npm、pip、maven等）：

version: 2
updates:
  - package-ecosystem: "npm" # 替换成你的包生态（如pip、maven）
    directory: "/"
    schedule:
      interval: "weekly"
    groups:
      your-group-name: # 替换成你的分组名称
        patterns:
          - "*" # 分组包含的依赖匹配规则
    ignore:
      # 方式1：明确列出要排除的版本
      - dependency-name: "foo"
        versions: ["0.7.6", "0.7.7", "0.7.8"]
      # 方式2：用版本范围（部分生态系统支持，比如npm）
      # - dependency-name: "foo"
      #   versions: ["~0.7.6", "~0.7.7", "~0.7.8"]

为什么评论命令无效？ #

Dependabot的评论式@dependabot ignore命令对复杂版本范围支持很差，仅单个版本、patch/minor/major级别这类简单语法能生效。像<=0.7.8或数组范围这种写法，评论命令根本不支持，所以会出现无响应或无效的情况。

内容的提问来源于stack exchange，提问作者Cornelius Roemer