Dependabot是否支持更新跟踪分支的Go私有依赖？如何配置实现？

Dependabot完全支持针对分支更新Go模块依赖，不用额外写GitHub Action就能实现，只需要调整你的dependabot.yml配置即可。下面是具体的实现步骤：

核心配置调整 #

首先，修改你的配置，针对私有依赖添加版本策略设置——因为分支没有语义化版本，我们需要让Dependabot追踪分支的最新提交（生成Go伪版本来更新）：

version: 2
updates:
  - package-ecosystem: 'gomod'
    directory: '/'
    schedule:
      interval: 'daily'
    allow:
      - dependency-name: "<private-dependency>"
    # 关键设置：让Dependabot追踪分支的最新提交哈希
    versioning-strategy: lockfile-only

配置说明 #

• versioning-strategy: lockfile-only：这个配置会让Dependabot跳过语义化版本检查，转而关注go.sum里的依赖哈希。当你的私有仓库目标分支有新提交时，Dependabot会自动生成对应的Go伪版本（比如v0.0.0-20240520123456-abcdef123456），并创建PR更新你的go.mod和go.sum。
• 确保你的go.mod里已经通过分支引用私有依赖（比如require <private-dependency> v0.0.0-xxxxxx-xxxxxx // indirect），Dependabot会自动识别并追踪该分支的更新。

非GitHub私有仓库的额外配置 #

如果你的私有仓库不是GitHub仓库，需要添加registries字段提供认证信息，让Dependabot能拉取依赖：

registries:
  private-gomod-repo:
    type: git
    url: https://your-private-repo-domain/your/repo.git
    # 用令牌认证，username固定为x-access-token，密码使用仓库的访问令牌
    username: x-access-token
    password: ${{ secrets.PRIVATE_REPO_ACCESS_TOKEN }}

updates:
  - package-ecosystem: 'gomod'
    directory: '/'
    # 指定使用上面配置的私有仓库注册表
    registries:
      - private-gomod-repo
    schedule:
      interval: 'daily'
    allow:
      - dependency-name: "<private-dependency>"
    versioning-strategy: lockfile-only

验证效果 #

配置完成后，Dependabot会按照你设置的调度周期（这里是每日）检查私有分支的最新提交，一旦有更新就自动创建PR，流程和处理普通Go依赖完全一致，不需要手动执行go get命令。

内容的提问来源于stack exchange，提问作者vkainth