文章建议关闭Dependabot，认为它会制造无谓的噪音，尤其是对Go生态系统的安全警报。作者推荐用两个定时运行的GitHub Actions替代：一个运行govulncheck检查漏洞，另一个测试依赖项的最新版本。并以自己修复的edwards25519漏洞为例，说明Dependabot会生成大量不必要警报。

关闭Dependabot：更智能的依赖管理方案

作者Filippo Valsorda在2026年2月20日发表文章，建议开发者关闭GitHub的Dependabot功能，并提出更高效的替代方案。

核心问题： 1. Dependabot会产生大量无效警报，尤其在Go生态系统中表现明显 2. 以作者修复的edwards25519安全漏洞为例，Dependabot向数千个未受影响仓库发送PR 3. 警报包含无意义的CVSS评分和兼容性评分，造成严重干扰

替代方案： 1. 使用govulncheck进行精准漏洞扫描： - 基于Go漏洞数据库的丰富元数据 - 支持包级别和符号级别的静态分析 - 可集成到GitHub Actions中每日自动运行

2. 测试最新依赖而非强制更新：
   • 通过每日CI测试最新依赖版本
   • 使用沙箱环境确保安全
   • 保留更新主动权，避免被依赖项更新周期绑架

关键优势： - 减少警报疲劳，提高安全响应质量 - 降低开源维护者负担 - 更安全的供应链管理

实施建议： 1. 移除Dependabot 2. 设置两个定时GitHub Action： - govulncheck漏洞扫描 - 针对最新依赖版本的测试套件

文章最后展示了作者开发的沙箱化CI方案，并感谢其赞助商对开源工作的支持。作者强调，这种方案能实现更少的工作量、更低的风险和更好的安全效果。

（注：文中图片描述和赞助商信息等次要内容已酌情简化）

以下是评论内容的总结：

1. 对govulncheck的认可

   • 多位用户称赞govulncheck能追踪调用路径，减少误报（如评论11、15）。
     • "govulncheck is so much better... way less noise."（评论11）
     • "The govulncheck approach... should be the default for every ecosystem."（评论15）
   • 有用户开发了配套的GitHub Action（评论5）。

2. 对其他语言生态工具的询问

   • 用户询问Rust/Cargo（评论1）、JVM（评论4）、JS/TS（评论8、10）、Python（评论7）的类似工具。
     • "Is there a govulncheck-like tool for the JVM ecosystem?"（评论4）
     • "Is there an equivalent for JS/TS?"（评论8）

3. 对Dependabot的评价

   • 支持观点：认为其跨语言支持（评论7）和自动化更新有用（评论6、17）。
     • "Dependabot regular update prs once a week seems like a good option."（评论2）
     • "We let renovate[bot] merge non-major dep updates if tests pass."（评论17）
   • 批评观点：认为其基于版本而非调用图分析，噪声大（评论15），且邮件通知烦人（评论13）。
     • "Dependabot’s built-in vulnerability scanning is strictly worse."（评论18）
     • "The emails are annoying and I mostly filter."（评论13）

4. 依赖更新策略的分歧

   • 快速更新派：主张自动化+测试（评论6、17）。
     • "I automate updates with a cooldown... Better that than accrue tech debt."（评论6）
   • 谨慎更新派：认为过快更新可能引入供应链风险（评论3），或建议手动审计（评论15）。
     • "Be wary of upgrading dependencies too quickly... Time is a good firewall."（评论3）

5. 对依赖管理的反思

   • 有用户批评过度依赖工具是“挖洞填坑”（评论14），建议减少依赖数量（评论16）。
     • "Consider deleting some dependencies instead."（评论14）
     • "It drives me insane... keeping dependencies to an absolute minimum."（评论16）

6. 其他工具推荐

   • 提及pip-audit（Python，评论15）、Sonatype Scan（Gradle，评论4）、Fossabot（评论12）等替代方案。