如何让Dependabot在PR中更新yarn.lock文件？

开发者阿泽

2026-7-2

Dependabot仅更新package.json未更新yarn.lock（Yarn 4 + Node 18）

我在GitHub上配置了Dependabot，配置文件如下：

version: 2
updates:
  - package-ecosystem: "npm"
    directory: "apps"
    schedule:
      interval: "daily"
    open-pull-requests-limit: 2

目前Dependabot能正常创建PR更新依赖版本，但只会修改package.json文件，完全不更新yarn.lock。我当前使用的是Node 18和Yarn 4，查了Dependabot的配置文档，默认版本策略是auto，但文档里既没明确说明如何让它更新yarn.lock，也没提到Yarn版本相关的适配内容。

PR示例截图：

解决办法

针对Yarn 4的场景，调整Dependabot配置就能让它自动更新yarn.lock：

切换包生态系统配置：
把原配置里的package-ecosystem: "npm"改成package-ecosystem: "yarn"，这样Dependabot会调用Yarn的命令来处理依赖更新，自动生成新的yarn.lock。调整后的完整配置如下：
```
version: 2
updates:
  - package-ecosystem: "yarn"
    directory: "apps"
    schedule:
      interval: "daily"
    open-pull-requests-limit: 2
```
明确指定Yarn版本（可选）：
如果仓库里没固定Yarn版本，在项目根目录新建.yarnrc.yml文件，指定Yarn 4的版本路径，确保Dependabot用正确版本运行：
```
nodeLinker: node-modules
yarnPath: .yarn/releases/yarn-4.x.x.cjs
```
注：yarn-4.x.x.cjs需要替换成你实际使用的Yarn版本文件，可通过yarn set version 4.x.x命令生成该文件和目录。
确认Dependabot权限：
检查仓库设置的「代码安全与分析」板块，确保Dependabot版本更新功能处于启用状态，避免权限不足导致无法生成锁文件。