技能介绍

要解决的问题

项目依赖会持续老化。手动升级包版本很容易遗漏：不同子仓库的锁文件格式各异，package.json、requirements.txt、go.mod、Cargo.toml 等清单分散在多处，PR 评审还会被版本号噪音淹没。更麻烦的是安全公告——某个传递依赖爆出 CVE 时，往往要花大量时间定位谁引用了它。

技能如何工作

Renovate 的工作流可以拆解为四个关键环节：

发现（Discover）：扫描仓库中的 manifest 与 lockfile，识别出全部依赖声明，包括 monorepo 中多包的情况。
分组（Extract/Group）：解析每个包的版本约束与更新范围，区分 major / minor / patch 更新，并按配置策略合并为单条或少量 PR。
拉取更新（Update）：按各自生态的安装与测试流程生成新分支，打开 PR 并附带更新日志与变更摘要，失败时自动打标签或关闭。
配置驱动：通过仓库内的配置文件（如 renovate.json）声明分组规则、排除范围、自动合并策略与调度窗口，无需改 CI 脚本。

它支持 GitHub、GitLab、Bitbucket 等主流托管平台，并覆盖 Node、Python、Go、Java、Rust 等数十种包生态系统。

适用边界与注意点

初次接入建议从独立分支试运行：先让 Renovate 只读地打开少量 minor/patch PR，观察分类与 diff 是否符合预期，再逐步放开范围。
敏感仓库需谨慎：涉及生产环境密钥或内网镜像的配置，在开启自动合并前应确认访问权限与回滚方案。
它不负责业务兼容性验证：自动 PR 只解决“版本号提上去了”，语义兼容仍需测试或 code review 兜底。