为什么需要它
心智模型
你的项目用了别人写的很多库（依赖），这些库可能暗藏安全漏洞，靠人一个个去查根本不现实。Dependabot 像一个「自动安保巡逻」，24 小时盯着你的依赖清单，一旦发现漏洞立刻通知你，还能顺手帮你修好。
历史背景 · 它为什么诞生诞生于 2017/2019
诞生依赖供应链安全威胁升级：2017 Equifax数据泄露源于未修补的已知漏洞组件，2018年多次大规模供应链攻击让业界意识到"依赖自动更新"不再是便利而是安全刚需。Dependabot 2017年由独立团队创立，专注自动生成依赖更新PR，解决手动升级依赖的繁琐与遗忘。
演进从2017年独立工具"自动更新依赖"，2019年被GitHub收购整合，升级为"安全警报+自动修PR"：依赖图识别脆弱依赖→自动生成PR更新到最近安全版本。2019-11-14 automated security updates GA，350万+活跃仓库启用，成为GitHub供应链安全平台核心。
历史教训
安全事件（Equifax）是安全产品需求的催化剂，但可持续的解法是"自动化+主动性"——不等开发者意识到漏洞，而是系统自动发现并生成修复PR。收购一个已被社区验证的独立工具比从零自建更高效。
功能介绍
Dependabot 是 GitHub 内置的依赖安全机器人，官方目标是 "find and fix vulnerable dependencies before they become security risks"——在依赖漏洞变成安全风险之前发现并修复它。它工作的第一环是依赖图（Dependency Graph）：GitHub 会自动分析仓库里的清单文件（manifest，比如 package.json、requirements.txt、Gemfile 等），画出你用了哪些依赖、它们之间是什么关系。基于这张图，Dependabot 对照官方漏洞数据库，一旦发现某个依赖存在已知漏洞，就产生安全警报（Security Alerts），在仓库的 Security 标签页里列出问题、严重等级和影响范围。更进一步，你可以开启 Dependabot 安全更新（Security Updates），它会自动创建拉取请求（Pull Request），把有漏洞的依赖升级到安全版本，你只需要审查合并。整条链路就是：依赖图 → 安全警报 → 安全更新 PR。
核心术语
依赖图（Dependency Graph）清单文件（Manifest File）安全警报（Security Alerts）安全更新（Security Updates）拉取请求（Pull Request）漏洞（Vulnerability）
适用场景
- 当你想第一时间知道项目依赖有没有已知漏洞时
- 当你想让机器人自动开 PR 修复有漏洞的依赖版本时
- 当你想了解整个项目的依赖结构和数量时
- 当你的项目用 GitHub Actions 但不知道 Actions 也有漏洞提醒时
怎么操作（网页 vs 命令行 双轨）
🖱️ 网页操作 (GitHub.com)
- 打开仓库，点击顶部 Security 标签页，可查看安全警报（Alerts）列表
- 进入 Settings → Code security and analysis，开启 Dependabot alerts 和 Dependabot security updates
- 在 Dependabot alerts 页面点击某条警报，查看漏洞详情并合并自动生成的修复 PR
- 也可在 Insights → Dependency graph 查看完整的依赖依赖图
⌨️ 命令行 (进阶)
`gh api /repos/{owner}/{repo}/dependabot/alerts` # 列出该仓库的 Dependabot 警报
新手建议先从网页操作入手，熟悉概念后再尝试命令行。命令行是真实开发中更常用的方式。
与其他功能的关系
| 关系（前置依赖 / 包含从属 / 概念升级 / 流程承接） | 说明 |
|---|---|
| 前置依赖创建仓库（Create Repository） | Dependabot 分析仓库依赖，先有仓库 |
| 流程承接拉取请求（Pull Request） | Dependabot security updates 自动开 PR 修漏洞，产出 PR |
官方文档
小结
SUMMARY
Dependabot 通过「依赖图 → 警报 → 自动修」三步闭环帮你守护依赖安全，漏洞发现快、修复也自动化。下一步：在 Settings 里开启 Dependabot alerts，看看你的仓库有没有红灯。