github actions 通过在工作流中配置 actions/setup-node 等官方 action 预装运行时，并执行 npm ci 或 pip install 等命令自动安装依赖，嵌入 ci/cd 流程为构建测试奠基；推荐用 npm ci 保障 lockfile 一致性，配合 actions/cache 加速，且失败即终止以确保环境可靠。
GitHub Actions 实现自动化的依赖安装，核心是把“安装依赖”作为工作流中的一个标准步骤，在合适的触发时机（比如代码推送、拉取请求、定时任务）自动运行。它不单独“安装依赖”就完事，而是嵌入到整个 CI/CD 流程中，为后续构建、测试、部署打基础。
依赖安装通常出现在构建类工作流里
绝大多数前端、Node.js、Python、Java 等项目，都需要先装好依赖才能运行测试或打包。GitHub Actions 通过 actions/setup-node、actions/setup-python 等官方 Action 预装运行时，再用对应包管理器命令完成依赖安装：
- Node.js 项目常用
npm ci或yarn install --frozen-lockfile（推荐ci，更可靠、更快、校验 lockfile） - Python 项目常用
pip install -r requirements.txt或pip install . - Ruby 项目用
bundle install - .NET 项目用
dotnet restore
典型 YAML 示例（以 Node.js 为例）
下面这段配置会：检出代码 → 安装 Node.js 20 → 安装依赖 → 运行测试：
name: CI
on: [push, pull_request]
jobs:
test:
runs-on: ubuntu-latest
steps:
- uses: actions/checkout@v4
- uses: actions/setup-node@v4
with:
node-version: '20'
- run: npm ci # 自动读取 package-lock.json，精准复现依赖
- run: npm test
关键细节不能忽略
依赖安装看似简单，但几个点直接影响稳定性：
-
用
npm ci而非npm install：前者严格按 lockfile 安装，避免意外升级；后者可能生成新 lockfile，导致环境不一致 -
缓存依赖提升速度：加一步
actions/cache@v4缓存node_modules，可减少 60%+ 安装时间 -
权限与认证要匹配：如果依赖私有 registry（如企业 Nexus 或 GitHub Packages），需配置
NODE_AUTH_TOKEN或.npmrc，并确保GITHUB_TOKEN有足够权限 - 失败即中断：默认情况下任一 step 失败，整个 job 终止——这是设计意图，确保“依赖没装好就不继续”，避免掩盖问题
和 Dependabot 更新联动
当 Dependabot 自动创建依赖更新的 PR 时，GitHub Actions 会自动触发该 PR 对应的工作流。这时的依赖安装就不仅是“准备环境”，更是“验证更新是否兼容”：
- 安装新版依赖后跑所有测试，确认没 break
- 可配合
dependabot/fetch-metadata获取更新类型（major/minor/patch）、是否为安全更新等信息，做差异化处理 - 通过标签（label）或评论（comment）自动标记风险，甚至自动合并已验证通过的补丁更新
不复杂但容易忽略
