Dependabot 自動存取 GitHub 託管登錄檔
為何重要
此次更新重整了 Dependabot 與私有套件庫的整合方式，藉由複用現有的 Actions 許可權大幅降低開發者維護多個 PAT 的複雜度與安全性風險。儘管曾因路徑衝突短暫回滾，這也反映出平臺在自動化許可權管理的邊界仍需持續最佳化。此舉顯示 GitHub 正深化統一開發者體驗（DX）的戰略，有助於減少開發者遷移至競品的使用成本。
GitHub 釋出新功能，允許 Dependabot 無需額外的個人存取權杖（PAT），直接透過現有的 GitHub Actions 存取許可權讀取私有套件。這項機制利用 GITHUB_TOKEN 向 *.pkg.github.com 和 ghcr.io 請求讀取權，適用於 Dependabot 支援的所有生態系統。儘管該功能在 2026 年 6 月 23 日釋出後曾因路由衝突導致 npm 套件處理問題而暫時回滾，目前已重新啟用並作為備份驗證使用，優先採用明確憑證判斷。
- Dependabot 的 GITHUB_TOKEN 能夠向 GitHub Packages 和 GitHub Container Registry 的私有登錄檔請求「讀取」許可權。
- 套件只要在「Manage Actions access」中授予了 repository 存取權，Dependabot jobs 就能像正規 GitHub Actions workflow 一樣使用該許可權。
- 開發者無需修改 dependabot.yml，並可移除原本為此目的設定的 PAT-based registry entries。
- 2026 年 6 月 23 日釋出後曾因部分 npm update jobs 走錯路徑而回滾，目前修復並確保自動 credential 僅作 fallback 使用。