Dependabot aggiunge un campo versione: distinguere dato registrato e distribuzione
Il 20 ottobre 2026 GitHub ha aggiunto dependency.version_requirement alle risposte REST degli avvisi Dependabot. Aiuta l’indagine, ma non certifica la versione oggi installata in produzione. Separiamo funzionalità annunciata e verifiche operative proposte.
Tenere distinti intervallo vulnerabile e dato del repository
vulnerable_version_range descrive l’intervallo interessato dall’avviso. Il nuovo campo contiene versione o vincolo registrato per ultimo da Dependabot. Conservare pacchetto, ecosistema e manifest_path insieme ai due valori. Un vincolo non è una singola versione installata: un’etichetta chiara evita ordinamenti fuorvianti.
Il rilevamento determina il significato
Con lockfile è la versione risolta; senza lockfile è la versione o il vincolo del manifest; con dependency submission API è la versione risolta inviata dal build. Il campo compare in avvisi singoli, elenchi di repository, organizzazione e impresa, e webhook dependabot_alert. È disponibile su github.com ed Enterprise Cloud con residenza dati; arriverà in Enterprise Server 3.24. Non presumere il supporto su server precedenti.
null e copertura parziale sono casi normali
In assenza di valore il campo è null. Un avviso con più versioni vulnerabili può rappresentarne solo una; vincoli lunghi possono essere troncati. Proponiamo di conservare stringhe e null, distinguere sconosciuto da sicuro e segnalare i ticket vecchi senza dato. Un conteggio identico di avvisi non prova la completezza delle versioni.
Verificare l’integrazione con casi rappresentativi
Registrare risposta ripulita, ora di raccolta, ID e percorso del manifest. Seguire versione da lockfile, vincolo e null fino al ticket. Riconciliare webhook e polling tramite repository e ID per evitare duplicati. Controllare i permessi del singolo endpoint. Sono proposte operative, non una nuova riparazione automatica.
Per il deployment corrente consultare evidenze di build e distribuzione. Dopo un aggiornamento eseguire i test e rileggere lo stato dell’avviso. Il campo può ridurre il lavoro, ma non sostituisce la verifica della release. Il responsabile deve distinguere vincolo, sconosciuto e versione rappresentativa e identificare l’evidenza ancora necessaria.
Fonti ufficiali
GitHub Changelog · Dependency versions
GitHub Docs · Dependabot alerts REST API
Verificato il 21 ottobre 2026. Confrontare una risposta con l’etichetta della versione nel ticket di sicurezza.