如何使用Dependabot或Renovate自动化更新Composer依赖？（CI/CD实践）

Dependabot 适合开箱即用，Renovate 适合精细控制；前者 GitHub 原生集成、配置简单，后者支持多 composer.json、自定义镜像及精准包规则。

Dependabot 和 Renovate 都能自动检测并提交 Composer 依赖更新的 Pull Request，但配置方式、灵活性和行为细节有明显差异。选哪个取决于你更看重开箱即用（Dependabot）还是精细控制（Renovate）。

Dependabot：GitHub 原生集成，上手快

GitHub 自带的 Dependabot 默认已启用，只需添加配置文件即可接管 Composer 更新。

• 在项目根目录创建 .github/dependabot.yml
• 指定 package-ecosystem 为 composer，设置目录（如 directory: "/" 或 directory: "/app"）
• 用 schedule 控制检查频率（如 weekly），用 allow/ignore 白名单或屏蔽特定包
• 支持 versioning-strategy：默认 auto，也可设为 increase（只升主/次版本）或 widen（放宽版本约束）

Dependabot 会自动解析 composer.json，按 require 和 require-dev 分组生成 PR，并附带变更摘要和依赖图。CI 流水线触发后，若测试通过，可直接合并。

Renovate：配置丰富，适合复杂 PHP 项目

Renovate 更灵活，尤其适合多 composer.json（如 monorepo）、自定义镜像源、或需跳过某些 lock 文件更新的场景。

• 添加 renovate.json5（推荐 JSON5 格式，支持注释）
• 启用 "packageRules" 精确控制：比如对 "monolog/monolog" 设 "allowedVersions": ">=2.10.0 ，或对 dev 依赖加 <code>"updateTypes": ["pin", "digest"]
• 用 "extends": ["config:recommended", ":semanticCommitTypeAll(chore)"] 统一提交规范
• 支持 "registryUrls" 指向私有 Packagist 镜像，避免超时或限流

Renovate 还能识别 composer.lock 变更并自动重跑 composer update --lock（需在 pipeline 中配置），确保 lock 文件与 json 严格一致。

标签： php js git json composer github app 配置文件 cos 镜像源