Поле версии в Dependabot: запись не доказывает версию в продакшене
20 октября 2026 года GitHub добавил dependency.version_requirement в REST-ответы предупреждений Dependabot. Поле помогает расследованию, но не подтверждает точную версию, установленную сейчас в рабочей среде. Отделим официальное изменение от предлагаемых проверок команды.
Диапазон уязвимости и запись репозитория — разные поля
vulnerable_version_range описывает диапазон из рекомендации безопасности. Новое поле содержит последнюю записанную Dependabot версию или ограничение для предупреждения. Сохраняйте пакет, экосистему и manifest_path рядом с обоими значениями. Ограничение нельзя сортировать как единственную установленную версию; точное название поля снижает риск ошибки.
Смысл зависит от способа обнаружения
Lockfile даёт разрешённую версию, manifest без lockfile — объявленную версию или ограничение, dependency submission API — разрешённую версию от сборочного инструмента. Поле есть в отдельных предупреждениях, списках репозитория, организации и предприятия и webhook dependabot_alert. Доступно на github.com и Enterprise Cloud с резидентностью данных; войдёт в Enterprise Server 3.24. Не предполагайте поддержку старого сервера.
null и неполнота — нормальные входные данные
Если значения нет, возвращается null. При нескольких уязвимых версиях одна запись может не охватывать их все; длинные ограничения могут обрезаться. Предлагаем сохранять строки и null, не подменять неизвестное безопасным и помечать старые задачи без данных. Совпадение числа предупреждений не доказывает полноту сведений о версиях.
Проверить интеграцию на характерных примерах
Сохраните очищенный ответ, время получения, ID предупреждения и путь manifest. Проследите версию из lockfile, ограничение и null до интерфейса задачи. Сопоставляйте webhook и опрос списков по репозиторию и ID, исключая дубли. Разрешения сверяйте с документацией конкретного endpoint. Это предложения по эксплуатации, не новая функция автоматического исправления.
Текущий deployment подтверждают отдельные записи сборки и развёртывания. После обновления выполните тесты и перечитайте состояние предупреждения. Поле может сократить расследование, но не заменяет проверку релиза. Исполнитель должен отличать ограничение, неизвестное и представительное записанное значение и понимать, какие доказательства нужны дальше.
Официальные источники
GitHub Changelog · Dependency versions
GitHub Docs · Dependabot alerts REST API
Проверено 21 октября 2026 года. Сравните один REST-ответ с отображением версии в задаче безопасности.