能否将Dependabot绑定至特定GitHub仓库的Release以自动创建PR？

要实现Dependabot监控目标GitHub仓库的Release版本，并自动更新Dockerfile中的压缩包下载链接、创建PR，需通过**自定义生态系统（custom ecosystem）**配置Dependabot，具体步骤如下：

1. 创建Dependabot配置文件 #

在你的仓库根目录下创建.github/dependabot.yml文件，填入以下配置（按需替换占位内容）：

version: 2
updates:
  - package-ecosystem: "custom"
    directory: "/"
    schedule:
      interval: "daily" # 每天检查一次新版本
    open-pull-requests-limit: 10 # 最多同时打开10个PR
    custom:
      - package-name: "目标仓库的owner/仓库名" # 示例：nginx/nginx
        versioning-strategy: "semver" # 遵循语义化版本规则
        files:
          - path: "Dockerfile" # 指定要更新的文件
            matchers:
              - pattern: 'https://github.com/目标仓库的owner/仓库名/releases/download/v(?<version>[0-9]+\.[0-9]+\.[0-9]+)/'
                group: 1 # 正则中捕获版本号的分组位置

关键配置说明： #

• package-ecosystem: "custom"：告知Dependabot这是自定义依赖监控场景
• package-name：填写你要监控的GitHub仓库完整路径（如foo/bar）
• matchers.pattern：正则表达式需精准匹配Dockerfile中下载链接的版本号部分。如果目标仓库Release版本无v前缀（如直接用1.2.3），需调整正则为'(?<version>[0-9]+\.[0-9]+\.[0-9]+)'
• 若需监控预发布版本，可在custom节点下添加include-pre-releases: true

2. 规范Dockerfile中的版本格式 #

确保Dockerfile内的下载链接格式与正则匹配一致，示例：

RUN wget https://github.com/foo/bar/releases/download/v1.2.3/bar.tar.gz -O bar.tar.gz

3. 启用Dependabot #

提交配置文件到仓库后，前往仓库Settings > Code security and analysis页面，确认Dependabot version updates已启用。

4. 验证与调试 #

• 提交配置后，Dependabot会在数小时内启动首次检查，可在仓库Insights > Dependency graph > Dependabot页面查看状态
• 若未触发PR，排查方向：
  • 正则表达式是否准确匹配Dockerfile中的链接
  • 目标仓库的Release是否为正式版本（Draft或Pre-release默认不触发）
  • 配置文件的YAML语法是否正确（可通过YAML校验工具自查）

内容的提问来源于stack exchange，提问作者remiheens