Dependabot无法识别升级Maven SNAPSHOT依赖新版本

你的推测完全正确，这不是配置错误，是Dependabot本身的功能限制：Dependabot 官方不支持 Maven SNAPSHOT 类型依赖的更新检测。

日志佐证 #

从你贴的运行日志可以直接看到逻辑缺陷：

• Dependabot 成功拉取到了私有仓库里的maven-metadata.xml，拿到了版本列表，但它校验版本是否存在时，只会固定拼接dependency-<版本号>-SNAPSHOT.jar格式的文件名发HEAD请求，完全没有实现Maven原生的快照版本解析逻辑——也就是不会读取maven-metadata.xml里记录的带时间戳后缀的实际快照文件名。
• 你实际存储在仓库里的快照jar是带时间戳后缀的dependency-1.2-20220714.094840-17.jar，自然所有固定文件名的请求都返回404，Dependabot判定版本不存在，最终提示无可用更新。
• 非SNAPSHOT的正式版本能被正常识别，刚好能验证这个逻辑：正式版本的jar包文件名是固定的<artifactId>-<version>.jar格式，完全匹配Dependabot的路径拼接规则，所以不会出问题。

补充说明 #

Maven构建时能正常解析快照版本，是因为Maven原生客户端自带maven-metadata.xml解析逻辑，会自动匹配最新的时间戳快照文件，这套逻辑Dependabot没有实现，和Maven快照命名规则不可修改的特性无关，你不需要调整仓库的Maven配置。

替代方案 #

• 主干分支、正式环境的依赖尽量使用不带-SNAPSHOT后缀的正式Release版本，Dependabot对这类版本的检测是完全正常的。
• 如果开发分支确实需要跟踪快照版本更新，不要依赖Dependabot实现，可以在CI里写简单的定时脚本：拉取对应依赖的maven-metadata.xml，对比当前pom中声明的快照版本和仓库最新快照的构建时间，有更新就自动提交PR修改pom版本即可。
• 不要尝试修改Maven的快照文件命名规则，这是Maven仓库的全局标准约定，修改后反而会导致正常的Maven构建依赖解析失败。

内容的提问来源于stack exchange，提问作者JackPGreen