Dependabot未为parent pom版本更新创建Pull Requests的问题

问题现象 #

• Dependabot未针对parent pom版本更新创建Pull Requests
• 项目使用Maven 3.X作为包管理器，parent pom配置如下：

<parent>
    <groupId></groupId>
    <artifactId>xxxxx-base-java-webapp</artifactId>
    <version>2022.1.0</version>
    <type>pom</type>
</parent>

• 内部Nexus仓库已存在该parent pom的多个后续新版本，但Dependabot判定该依赖无需更新
• Dependabot基础功能正常，可正常识别<dependencies>标签下声明的常规依赖并创建对应更新PR
• 当前dependabot.yml配置如下：

version: 2
updates:
- package-ecosystem: maven
  directory: "/xxxx"
  target-branch: "develop"
  open-pull-requests-limit: 10

• 对应运行日志片段：

2022-06-14T18:42:49.0954590Z Parsing dependencies information
2022-06-14T18:42:49.1031289Z Checking if xxxxx-base-java-webapp  needs updating
2022-06-14T18:42:49.1031933Z No update needed for xxxxx-base-java-webapp 

问题根因 #

• 依赖坐标不完整：当前配置的<parent>标签内groupId字段为空，Dependabot做静态依赖解析时，无法构造完整的Maven依赖坐标，匹配不到正确的包信息，自然无法识别版本更新。Maven本身运行时可以从父POM继承groupId，但Dependabot不会执行Maven构建流程，仅做静态文本解析，空字段会直接导致解析异常。
• 私有仓库未配置：默认配置下Dependabot只会从Maven中央仓库拉取依赖元数据，该parent pom托管在私有Nexus仓库，没有在配置中声明私有仓库地址的话，Dependabot根本获取不到Nexus内的新版本列表，只会返回无可用更新。
• 版本过滤规则拦截：parent pom使用2022.1.0类日期格式版本号，如果Nexus上的新版本带-SNAPSHOT、-beta等预发布/快照后缀，默认配置下Dependabot会自动忽略非稳定版本，不会触发更新。
• 路径配置错误：如果dependabot.yml中directory字段指向的路径不是包含该parent声明的pom.xml所在目录，Dependabot解析的是错误位置的pom文件，也会出现判断异常。

修复步骤 #

• 补全pom.xml中<parent>标签的所有必填字段，确保groupId、artifactId、version三个字段值完整无空值。
• 核对directory配置路径，确保路径指向存放目标pom.xml的正确目录。
• 修改dependabot.yml，添加私有Nexus仓库配置，参考如下：

version: 2
updates:
- package-ecosystem: maven
  directory: "/xxxx"
  target-branch: "develop"
  open-pull-requests-limit: 10
  registries:
    - maven-internal-nexus
  # 如果需要更新快照/预发布版本，添加以下放开版本限制的规则
  # allow:
  #   - dependency-type: "all"

# 顶层声明私有仓库信息
registries:
  maven-internal-nexus:
    type: maven-repository
    url: 你的Nexus仓库组地址，例如http://nexus.xxx.com/repository/maven-public/
    # 如果Nexus需要认证，在仓库Secrets中配置对应账号密码后引用如下字段，无需认证可删除
    username: ${{ secrets.NEXUS_USER }}
    password: ${{ secrets.NEXUS_PWD }}

• 确认Nexus仓库已经生成最新的maven-metadata元数据文件，Dependabot通过该文件获取全量版本列表，元数据未更新也会导致识别不到新版本。
• 提交配置变更后手动触发一次Dependabot扫描，即可正常识别parent pom版本并创建更新PR。

内容的提问来源于stack exchange，提问作者SriA