Dependabot仅创建junit更新PR 未更新其他Gradle依赖问题

应用内包含名为dependencies的Android模块，模块Gradle依赖配置如下：

dependencies {
    implementation 'androidx.core:core-ktx:1.7.0'
    implementation 'androidx.appcompat:appcompat:1.4.1'
    implementation 'com.google.android.material:material:1.6.0'
    implementation 'com.google.android.exoplayer:exoplayer:2.17.0'
    testImplementation 'junit:junit:4.13.1'
    androidTestImplementation 'androidx.test.ext:junit:1.1.2'
}

项目中dependabot.yml配置如下：

version: 2
updates:
# Updates for Gradle dependencies used in the app      
    - package-ecosystem: gradle
      directory: "/dependencies/"
      schedule:
        interval: "daily"
      open-pull-requests-limit: 10

实际现象：上述列出的所有依赖均存在更高可用版本，但Dependabot仅针对junit:junit:4.13.1创建了更新拉取请求，其余依赖未生成对应更新PR。

当前配置存在两个核心问题，导致依赖扫描不全：

• directory路径配置逻辑错误。Gradle生态的Dependabot会在指定目录下查找根级settings.gradle/build.gradle配置文件，基于完整的项目构建上下文递归识别所有被引入模块的依赖。将路径直接指向/dependencies/模块目录后，Dependabot无法找到项目根构建配置，脱离Android构建上下文后无法解析关联AGP（Android Gradle插件）的依赖项。
• 目标目录缺失仓库配置。仅Junit能生成更新PR，是因为Junit托管在公共Maven中央仓库，不需要额外仓库配置即可被Dependabot解析版本信息；而androidx、Material、Exoplayer这类依赖托管在Google Maven仓库，/dependencies/目录下没有独立配置repositories块声明google()、mavenCentral()等仓库源，Dependabot无法拉取到这些依赖的版本元数据，自然不会生成更新PR。

根据项目结构二选一即可：

• 方案1（推荐，适配绝大多数Android多模块项目）：将directory修改为项目Gradle根目录/，Dependabot会自动读取根目录配置的仓库源、识别所有被settings.gradle include的模块（包括dependencies模块），正常扫描所有依赖的版本更新。
  修正后的配置如下：

  version: 2
  updates:
  # 扫描全项目Gradle依赖更新
      - package-ecosystem: gradle
        directory: "/"
        schedule:
          interval: "daily"
        open-pull-requests-limit: 10
  

• 方案2（仅需扫描dependencies模块，且该模块为独立Gradle项目）：保留/dependencies/路径配置，在该模块目录下补充完整的Gradle项目配置：
  • 新增settings.gradle文件声明当前模块
  • 在模块的build.gradle中补充repositories配置块，添加google()、mavenCentral()仓库源，确保Dependabot可以拉取到Android相关依赖的版本信息。

注意：如果dependencies是被根项目include的普通业务模块，不要单独将directory指向模块路径，这种配置下Dependabot无法拿到完整构建上下文，大概率会持续出现依赖解析不全的问题。

内容的提问来源于stack exchange，提问作者MXC