Dependabot配置allow属性未按预期允许指定依赖更新

这是Dependabot处理Maven依赖时allow白名单的固有校验逻辑：
配置allow字段后Dependabot会进入严格白名单模式，仅允许列表内的依赖触发更新；如果某一个待更新依赖存在必须同步升级的强关联同版本依赖（通常是同一项目下拆分发布的同版本核心包），只要关联依赖不在白名单内，整个更新链路都会被拦截，哪怕目标依赖本身已经在白名单里也不会放行。
从你的运行日志就能对应上这个逻辑：org.apache.poi:poi-ooxml强依赖同版本的org.apache.poi:poi核心包，你仅将poi-ooxml加入白名单，核心包poi不在允许范围内，Dependabot判定更新链路不满足要求，直接拦截了包括poi-ooxml在内的所有poi包更新请求。

两种方案二选一即可：

• 方案一：将强关联依赖一并加入白名单
  把poi-ooxml依赖的同组核心包也加到allow列表里，配置示例：

version: 2
updates:
- package-ecosystem: maven
  directory: "/xxx"
  target-branch: "xxx"
  open-pull-requests-limit: 10
  allow:
    - dependency-name: "org.apache.poi:poi-ooxml"
    - dependency-name: "org.apache.poi:poi"

• 方案二：用通配符匹配整个groupId下的所有依赖
  如果需要放行org.apache.poi下的全部相关包，不用逐个枚举关联依赖，直接用通配符匹配即可，配置示例：

version: 2
updates:
- package-ecosystem: maven
  directory: "/xxx"
  target-branch: "xxx"
  open-pull-requests-limit: 10
  allow:
    - dependency-name: "org.apache.poi:*"

• 只要配置了allow字段，默认就会拒绝所有不在列表内的依赖更新，不存在默认放行的逻辑
• Maven生态下同一项目拆分的多模块依赖（比如同groupId下同版本的核心包、扩展包、启动器），必须全部纳入白名单才能正常触发单包更新，Dependabot不会跳过关联依赖单独升级某一个包
• dependency-name字段支持*通配符匹配任意字符，适配整组依赖放行的场景非常方便

内容的提问来源于stack exchange，提问作者SriA