Renovate とは？

プロジェクトが使っているライブラリに新しいバージョンが出たら、自動でプルリクエストを作ってくれるツールだよ。たとえばReact 18.2→18.3が出たら、package.jsonの更新PRが自動で届くんだ

小さなプロジェクトなら手動でもいいけど、実際のプロジェクトでは数十〜数百の依存パッケージがあるんだ。全部手動で追いかけるのは現実的じゃないし、セキュリティ修正を見逃すと脆弱性が放置されるリスクもあるよ

DependabotはGitHubが提供するもので、GitHub上でだけ使えるんだ。Renovateはオープンソースで、GitLab、Bitbucket、セルフホストのGitサーバーでも使える。さらにRenovateは更新ルールの設定がとても柔軟で、「マイナーバージョンは自動マージ」「メジャーバージョンは月曜だけ」みたいな細かい制御ができるんだよ

そのための機能がいろいろあるよ。複数のパッケージ更新を1つのPRにまとめるグループ化、テストが通ったら自動マージするオートマージ、更新PRを作る曜日を限定するスケジュール機能などで、通知地獄を防げるんだ

最初は自動マージを慎重にして、PRの中身を確認する運用がおすすめだよ。慣れてきたらパッチバージョン（バグ修正）は自動マージ、メジャーバージョン（破壊的変更）は手動レビューという感じで段階的に自動化するといいんだ。あと、Renovateの設定ファイルは正規表現やglob パターンで柔軟にカスタマイズできるから、プロジェクトに合わせて育てていくのがポイントだよ