dependabot 仅修改 composer.json 版本号并提 pr，不更新 composer.lock；ci 必须在 pr 中执行 composer update --lock --no-install 同步 lock 文件，否则 composer install 失败。
Dependabot 不会自动执行 composer update，它只改 composer.json 中的版本号并提 PR；真正同步 composer.lock 必须靠 CI 显式运行 composer update --lock --no-install，否则 composer install 会直接失败。
Dependabot 提的 PR 为什么总报 “Your lock file does not contain a compatible set of packages”
这是最常遇到的错误，根本原因不是 Dependabot 做错了，而是你 CI 流程没跟上它的节奏：
- Dependabot 只修改
composer.json（比如把"guzzlehttp/guzzle": "^7.2"改成"^7.8"），完全不碰composer.lock - 你的 CI 脚本如果直接跑
composer install，就会发现composer.lock里还存着旧版本哈希，和新composer.json对不上 - 正确做法是在 PR 的 CI 中加一步：
composer update --lock --no-install—— 它只更新 lock 文件，不下载包，也不执行 autoload 生成，安全且轻量
dependabot.yml 中 directories 和 directory 的区别与常见误用
很多人以为 directories: ["/packages/*"] 能匹配所有子目录，其实 Dependabot 不支持通配符路径，* 在这里无效：
Discussion Composer
下载
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
directory: "/"表示只监控根目录下的composer.json -
directories: ["/", "/admin", "/api"]才是合法写法，用于多项目结构（如 monorepo） - 想递归扫描所有子目录？用
directories: ["**/*"]，但注意：Dependabot 会为每个匹配到的composer.json单独发 PR，可能产生大量重复或冲突 PR - 如果你只有一个
composer.json，就别写directories，用默认的directory: "/"更稳妥
CI 中执行 composer update --lock --no-install 的实际位置和时机
这步必须放在 Dependabot PR 的 CI 流程里，不能等到 merge 后再做：
- GitHub Actions 示例中，要监听
pull_request_target事件（不是pull_request），否则无法读取.github/workflows/下的 secrets 或 checkout 主分支代码 - 命令顺序建议：
composer validate→composer update --lock --no-install→git diff --quiet composer.lock || (git config --global user.name 'dependabot'; git config --global user.email '41898282+github-actions[bot]@users.noreply.github.com'; git add composer.lock; git commit -m "chore: update composer.lock") - 注意：不要在 Dependabot PR 中执行
composer install或composer update（无参数），前者会失败，后者会升级其他未提及依赖，破坏语义化控制
最容易被忽略的一点：Dependabot 的“自动更新”本质是「人工审核流」，它从不跳过你的确认环节；而真正危险的操作——比如盲目让 CI 自动 push 修改后的 composer.lock 回 PR 分支——必须由你明确设计、测试并限制作用域，否则一次配置失误就能让整个依赖树失控。
