Dependabot fetch-metadata无update-type字段的问题与解决方法

问题 #

我正按照GitHub官方文档实现Dependabot自动化，希望自动批准仅包含patch和minor版本更新的PR，使用条件：

if: steps.dependabot-metadata.outputs.update-type == 'version-update:semver-patch' || steps.dependabot-metadata.outputs.update-type == 'version-update:semver-minor'

但实际获取的metadata里没有update-type相关信息，导致工作流无法正常执行。

根据dependabot/fetch-metadata@v1.6.0的定义，steps.dependabot-metadata.outputs.update-type表示PR中最高级别的语义化版本变更（比如version-update:semver-major），但我拿到的urllib3（Python）元数据示例里updateType是空值：

[{"dependencyName":"urllib3","dependencyType":"direct:production","updateType":"","directory":"/lego/master","packageEcosystem":"pip","targetBranch":"master","prevVersion":"","newVersion":"","compatScore":0,"maintainerChanges":false,"dependencyGroup":"","alertState":"","ghsaId":"","cvss":0}]

我的Dependabot工作流代码如下：

name: Dependabot
on:
  pull_request_target:
    types: [opened, reopened]

permissions:
  contents: write
  pull-requests: write

jobs:
  dependabot:
    runs-on: ubuntu-latest
    if: github.actor == 'dependabot[bot]'
    steps:
      - name: Dependabot metadata
        id: dependabot-metadata
        uses: dependabot/fetch-metadata@v1
        with:
          github-token: ${{ secrets.GITHUB_TOKEN }}
      - name: Output updated dependencies (JSON)
        run: echo steps.dependabot-metadata.outputs.updated-dependencies-json
        env:
          PR_URL: ${{ github.event.pull_request.html_url }}
          GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
      - name: Enable auto-merge for Dependabot PR
        #if: contains(steps.metadata.outputs.dependency-names, 'my-dependency') && steps.metadata.outputs.update-type == 'version-update:semver-patch'
        run: gh pr merge --auto --merge "$PR_URL"
        env:
          PR_URL: ${{ github.event.pull_request.html_url }}
          GH_TOKEN: ${{ secrets.GITHUB_TOKEN }}
      - name: Approve patch and minor updates
        if: steps.dependabot-metadata.outputs.update-type == 'version-update:semver-patch' || steps.dependabot-metadata.outputs.update-type == 'version-update:semver-minor'
        run: gh pr review $PR_URL --approve -b "I'm **approving** this PR because **it includes patch or minor updates**"
        env:
          PR_URL: ${{ github.event.pull_request.html_url }}
          GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
      - name: Approve major updates of development dependencies
        if: steps.dependabot-metadata.outputs.update-type == 'version-update:semver-major' && steps.dependabot-metadata.outputs.dependency-type == 'direct:development'
        run: gh pr review $PR_URL --approve -b "I'm **approving** this PR because **it includes a major update of a development dependency**"
        env:
          PR_URL: ${{ github.event.pull_request.html_url }}
          GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
      - name: Comment on major updates of production dependencies
        if: steps.dependabot-metadata.outputs.update-type == 'version-update:semver-major' && steps.dependabot-metadata.outputs.dependency-type == 'direct:production'
        run: |
          gh pr comment $PR_URL --body "I'm **not approving** this PR because **it includes a major update of a production dependency**"
          gh pr edit $PR_URL --add-label "dependabot manual"
        env:
          PR_URL: ${{ github.event.pull_request.html_url }}
          GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}

想知道为什么update-type字段在metadata中不可用，以及如何让它在工作流中正常获取。

原因与解决办法 #

核心原因 #

1. 版本号缺失导致无法计算更新类型：从metadata可见prevVersion和newVersion为空，fetch-metadata需要这两个值对比才能生成语义化版本变更类型，无有效版本号则无法输出updateType。
2. Dependabot配置或PR类型限制：若为安全更新PR（基于GHSA），或dependabot.yml中未正确设置版本策略，可能导致Dependabot无法提取明确的新旧版本号。
3. 旧版本工具兼容性问题：dependabot/fetch-metadata@v1对pip等包生态的版本解析支持存在局限，部分场景下无法正确识别版本变更。

解决步骤 #

1. 检查Dependabot配置文件

确保dependabot.yml中package-ecosystem、directory配置正确，针对pip生态，确认versioning-strategy设置合理（如lockfile-only或widen），这会影响Dependabot获取版本号的逻辑。

2. 升级fetch-metadata到最新版

将dependabot/fetch-metadata@v1替换为最新的v2版本（如dependabot/fetch-metadata@v2.2.0），v2版本优化了版本解析逻辑，修复了多个旧版本bug，对pip生态的支持更完善。

修改后的metadata步骤：

- name: Dependabot metadata
  id: dependabot-metadata
  uses: dependabot/fetch-metadata@v2
  with:
    github-token: ${{ secrets.GITHUB_TOKEN }}

3. 验证PR的版本变更信息

若为安全更新PR，Dependabot有时会直接替换依赖版本而不显示明确对比，可手动触发一次常规Dependabot更新测试，或检查PR的diff内容是否包含清晰的版本号变更。

4. 备选方案：手动解析版本号

若升级后仍无法获取update-type，可通过PR的diff手动提取新旧版本号，用脚本计算语义化版本类型。示例步骤：

- name: Calculate update type manually
  id: calculate-update-type
  run: |
    # 从requirements.txt提取urllib3的新旧版本号
    PREV_VERSION=$(git show ${{ github.event.pull_request.base.sha }}:requirements.txt | grep -E 'urllib3==' | cut -d'=' -f3)
    NEW_VERSION=$(git show ${{ github.event.pull_request.head.sha }}:requirements.txt | grep -E 'urllib3==' | cut -d'=' -f3)
    
    # 计算语义化版本变更类型
    if [[ $PREV_VERSION =~ ^([0-9]+)\.([0-9]+)\.([0-9]+)$ && $NEW_VERSION =~ ^([0-9]+)\.([0-9]+)\.([0-9]+)$ ]]; then
      if [ "${BASH_REMATCH[1]}" != "${BASH_REMATCH[4]}" ]; then
        echo "update-type=version-update:semver-major" >> $GITHUB_OUTPUT
      elif [ "${BASH_REMATCH[2]}" != "${BASH_REMATCH[5]}" ]; then
        echo "update-type=version-update:semver-minor" >> $GITHUB_OUTPUT
      else
        echo "update-type=version-update:semver-patch" >> $GITHUB_OUTPUT
      fi
    fi

之后可使用steps.calculate-update-type.outputs.update-type替代原条件中的字段。

内容的提问来源于stack exchange，提问作者Shuzheng