Github Dependabot误将PR提交至main分支，如何修正配置？

可能的原因及对应配置补充 #

1. 安全更新未指定目标分支 #

Dependabot的安全更新是独立于定期调度更新的模块，默认会针对仓库的默认分支（main）创建修复PR，不受你配置的schedule部分的target-branch影响。

需要在配置中为每个包生态系统指定安全更新的目标分支，或者全局统一设置：

全局配置方式

version: 2
# 全局指定安全更新的目标分支
security-updates:
  target-branch: 'develop'
updates:
  - package-ecosystem: 'github-actions'
    target-branch: 'develop'
    directory: '/'
    schedule:
      interval: 'weekly'
      day: 'saturday'

  - package-ecosystem: 'npm'
    target-branch: 'develop'
    directory: '/'
    schedule:
      interval: 'weekly'
      day: 'saturday'

  - package-ecosystem: 'composer'
    target-branch: 'develop'
    directory: '/'
    schedule:
      interval: 'weekly'
      day: 'saturday'

单生态系统配置方式

version: 2
updates:
  - package-ecosystem: 'github-actions'
    target-branch: 'develop'
    directory: '/'
    schedule:
      interval: 'weekly'
      day: 'saturday'
    # 单独指定该生态的安全更新分支
    security-updates:
      target-branch: 'develop'

  - package-ecosystem: 'npm'
    target-branch: 'develop'
    directory: '/'
    schedule:
      interval: 'weekly'
      day: 'saturday'
    security-updates:
      target-branch: 'develop'

  - package-ecosystem: 'composer'
    target-branch: 'develop'
    directory: '/'
    schedule:
      interval: 'weekly'
      day: 'saturday'
    security-updates:
      target-branch: 'develop'

2. 遗留的旧更新任务 #

在你修改dependabot.yml之前，可能已有针对main分支的更新任务进入Dependabot的任务队列，这些任务会继续执行并生成PR。

解决方式：

• 直接关闭误提交到main分支的PR
• 进入仓库「Insights > Dependency graph > Dependabot」页面，手动取消队列中未执行的针对main分支的任务

3. 配置同步延迟 #

修改dependabot.yml后，GitHub需要一定时间同步配置，期间旧规则可能仍在生效。若刚修改配置就出现该问题，属于正常延迟，后续更新会遵循新配置。

4. 手动触发的更新 #

确认是否有仓库协作者通过GitHub UI或API手动触发了针对main分支的Dependabot更新——手动触发的更新会忽略配置中的调度规则，直接使用触发时指定的分支。

内容的提问来源于stack exchange，提问作者secondman