Field versi baru Dependabot: bedakan catatan dan versi yang diterapkan

Pada 20 Oktober 2026 GitHub menambahkan dependency.version_requirement ke respons REST peringatan Dependabot. Konteks ini membantu penyelidikan, tetapi bukan bukti versi yang kini terpasang di produksi. Pisahkan perilaku resmi dari usulan pemeriksaan tim.

Pisahkan rentang rentan dan catatan repositori

vulnerable_version_range adalah rentang terdampak pada advisori. Field baru berisi versi atau batasan yang terakhir dicatat Dependabot untuk peringatan. Simpan paket, ekosistem, dan manifest_path bersama kedua nilai itu. Batasan bukan satu versi terpasang; label yang tepat mencegah pengurutan yang keliru.

Jalur deteksi menentukan makna

Lockfile menghasilkan versi teresolusi; manifest tanpa lockfile menghasilkan versi atau batasan deklaratif; dependency submission API menghasilkan versi teresolusi kiriman alat build. Field tersedia pada peringatan tunggal, daftar repositori, organisasi, enterprise, serta webhook dependabot_alert. Tersedia di github.com dan Enterprise Cloud dengan residensi data, dan akan masuk Enterprise Server 3.24. Jangan menganggap server lama sudah mendukungnya.

null dan cakupan sebagian adalah masukan normal

Nilai yang tidak tersedia adalah null. Peringatan dengan beberapa versi rentan bisa hanya memuat satu nilai catatan; batasan panjang dapat terpotong. Usulan kami: pertahankan string dan null, bedakan tidak diketahui dari aman, dan tandai tiket lama yang belum punya data. Jumlah peringatan sama tidak membuktikan informasi versi lengkap.

Uji integrasi dengan kasus perwakilan

Simpan respons tanpa rahasia, waktu pengambilan, ID peringatan, dan jalur manifest. Ikuti kasus lockfile, batasan manifest, serta null hingga layar tiket. Cocokkan webhook dan polling berdasarkan repositori serta ID agar tidak membuat duplikat. Periksa izin setiap endpoint. Ini usulan operasional, bukan fitur perbaikan otomatis baru.

Untuk versi yang benar-benar diterapkan, baca catatan build dan deployment terpisah. Sesudah pembaruan, jalankan tes dan periksa kembali status peringatan. Field ini mungkin mengurangi pencarian, tetapi tidak menggantikan verifikasi rilis. Penanggung jawab harus mampu membedakan batasan, nilai tak diketahui, dan versi perwakilan serta menentukan bukti berikutnya.

Sumber resmi

GitHub Changelog · Dependency versions

GitHub Docs · Dependabot alerts REST API

Diperiksa 21 Oktober 2026. Bandingkan satu respons peringatan dengan label versi pada tiket keamanannya.