Dependabot能否为直接依赖提供patch升级建议？

1. 现有功能能否实现该需求 #

目前Dependabot原生能力没法完全自动化满足这个需求。
你可以在仓库的.github/dependabot.yml里调整配置做部分限制，但都达不到精准匹配的效果：

• 你可以配置allow规则限定Dependabot仅针对直接依赖发起升级PR，同时搭配versioning-strategy参数让它优先选patch版本升级，但这个规则是全局生效的——开启后Dependabot会给所有直接依赖的常规patch更新都提PR，不会自动过滤掉那些没有修复任何安全漏洞的普通版本升级，没法精准只挑带漏洞修复的直接依赖升级。
• 默认的Dependabot安全升级逻辑不会区分直接/间接依赖：只要依赖树里（不管是你手动引入的直接依赖，还是依赖传递进来的间接依赖）存在带公开漏洞的包，它就会自动生成可修复漏洞的最低版本升级PR。很多时候漏洞出在间接依赖上，它要么直接给间接依赖提升级PR，要么会把你的直接依赖升到较高版本来适配间接依赖的修复，不会默认限定只修改直接依赖。

目前可行的临时方案是靠标签人工筛选：Dependabot生成的安全修复类PR会统一打上dependabot-security标签，常规版本升级PR会打dependabot-version-updates标签，你可以只处理带安全标签的PR，手动确认PR里升级的是直接依赖再合入，但这个流程没法靠配置自动完成，必须人工介入校验。

2. 该需求是否已纳入产品backlog #

这个需求已经被大量用户反馈过，目前确实已经被GitHub官方收集进产品待办列表，属于排期开发的需求项，但暂时没有公布明确的上线时间线。
从公开的需求讨论记录看，和这个需求对齐的规划能力点包括：

• 支持配置安全升级规则仅作用于直接依赖
• 支持给安全升级PR增加过滤逻辑，自动排除不带漏洞修复的常规版本变更
• 支持更细粒度的安全升级版本锁定，比如仅升级到刚好修复对应CVE的最低patch版本，不会顺带引入其他无关的版本变更

内容的提问来源于stack exchange，提问作者varunzxzx