Dependabot忽略target-branch配置 部分PR错误提交至master分支

问题原因 #

你遇到的分支不匹配问题，本质是Dependabot对两类不同的更新PR执行了独立的分支判定规则，target-branch配置并非全局生效：

• 按配置调度规则触发的常规版本更新PR：也就是每日定时执行的依赖版本升级、功能迭代类更新，会严格读取target-branch配置，将PR提交到你指定的develop分支。
• 安全告警触发的漏洞修复PR：当GitHub检测到仓库依赖存在已知CVE等安全风险时自动生成的修复PR，这类PR默认强制提交到仓库的默认分支（即你当前仓库设置的master分支），不受dependabot.yml中target-branch配置约束。这也是你手动修改PR基分支后，执行dependabot rebase或dependabot recreate操作会自动切回master的核心原因——Dependabot识别到该PR属于安全更新类，会强制重置目标分支为默认分支。

target-branch 配置的实际作用 #

该配置的生效范围仅覆盖两类场景：

1. 配置文件中定义的、按schedules设置的周期触发的常规依赖更新PR
2. 你在Dependabot管理面板手动触发的非安全类依赖更新PR

安全更新跳过该配置是GitHub的刻意设计：逻辑上要求漏洞修复必须优先合入承载生产代码的默认分支，避免开发者仅在开发分支合入修复、未及时同步到生产分支导致漏洞长期留存。

解决方案 #

如果需要所有Dependabot PR都提交到develop分支，按以下步骤调整即可：

1. 进入仓库Settings > Code security and analysis页面，找到Dependabot安全更新板块，进入高级设置将安全更新的目标分支手动指定为develop（注：部分低版本GitHub Enterprise实例未提供该配置项，此类环境下安全更新仅能提交到仓库默认分支）
2. 检查dependabot.yml中是否存在多个updates配置块，确认所有配置块都明确添加了target-branch: "develop"，避免未指定分支的配置项默认向master提交PR
3. 已经生成的、目标分支错误的安全更新PR，不要直接在PR页面修改基分支，先关闭旧PR，在Dependabot安全更新面板选定目标分支为develop后重新生成PR，就不会出现自动切回master的问题。

补充建议：如果你的仓库默认分支为master且承载生产环境代码，不建议修改安全更新的目标分支，保留默认向master提交安全修复、常规版本更新向develop提交的规则即可，避免出现生产环境漏更安全补丁的问题。

内容的提问来源于stack exchange，提问作者s89_