Dependabot 版本更新引入默认包冷却期

# Dependabot 版本更新引入默认包冷却期 来源：https://github.blog/changelog/2026-07-14-dependabot-version-updates-introduce-default-package-cooldown/ Dependabot 现在会等待新版本在其注册表中可用至少三天后，才会打开版本更新拉取请求。此冷却期现已成为默认设置，无需任何配置。 新版本是供应链攻击的常见切入点，被篡改或损坏的版本可能在维护人员和社区发现之前就进入你的依赖更新。短暂的延迟让这些信号有时间显现，因此你更不可能在不良版本刚刚发布时就将其合并。 需要了解以下几点： - 默认设置仅适用于版本更新。安全更新仍会立即打开，因此关键修复不会延迟。 - 你始终掌握控制权。使用 `.github/dependabot.yml` 中的 `cooldown` 选项可以设置不同的等待时间或完全退出。 此默认设置适用于 github.com 上所有受支持生态系统的 Dependabot 版本更新，并将于 GitHub Enterprise Server (GHES) 3.23 中生效。 在我们的文档中了解有关 Dependabot 冷却期的更多信息 (https://docs.github.com/code-security/dependabot/working-with-dependabot/dependabot-options-reference#cooldown-)。