依赖升级不应全自动合并：2026 供应链更新策略

核心判断

安全补丁、常规升级与重大版本需要不同审查强度和验证范围。

落地步骤

固定版本；分组更新；优先安全项；运行 SBOM 与测试；保留回滚。

完成前检查

确认负责人、数据与权限边界、失败恢复、可观测信号和回滚条件；用一次真实样例完成端到端验证，再扩大范围。

一手资料

https://docs.github.com/en/code-security/dependabot