ฟิลด์เวอร์ชันใหม่ของ Dependabot: ข้อมูลที่บันทึกไม่ใช่หลักฐาน deployment
GitHub เพิ่ม dependency.version_requirement ใน REST response ของ Dependabot เมื่อ 20 ตุลาคม 2026 ข้อมูลช่วยสืบสวน แต่ไม่ยืนยันเวอร์ชันที่ติดตั้งใน production ขณะนี้ ควรแยกพฤติกรรมที่ประกาศออกจากข้อเสนอการตรวจของทีม
ช่วงเวอร์ชันที่มีช่องโหว่กับบันทึก repository เป็นคนละช่อง
vulnerable_version_range อธิบายช่วงตามประกาศช่องโหว่ ฟิลด์ใหม่คือเวอร์ชันหรือเงื่อนไขล่าสุดที่ Dependabot บันทึกสำหรับ alert เก็บชื่อแพ็กเกจ ecosystem และ manifest_path พร้อมทั้งสองค่า เงื่อนไขไม่ใช่เวอร์ชันติดตั้งเดียว จึงควรตั้งป้ายให้ชัดก่อนจัดเรียงในตั๋ว
วิธีตรวจพบกำหนดความหมาย
lockfile ให้เวอร์ชันที่ resolve แล้ว manifest ที่ไม่มี lockfile ให้เวอร์ชันหรือเงื่อนไขที่ประกาศ ส่วน dependency submission API ให้เวอร์ชัน resolve จากเครื่องมือ build ฟิลด์มีใน alert รายตัว รายการ repository องค์กร enterprise และ webhook dependabot_alert ใช้ได้บน github.com และ Enterprise Cloud ที่มี data residency และจะรวมใน Enterprise Server 3.24 อย่าสรุปว่า Server รุ่นเก่ารองรับ
null และข้อมูลบางส่วนเป็นอินพุตปกติ
เมื่อไม่มีค่าจะเป็น null alert ที่ครอบคลุมหลายเวอร์ชันอาจแสดงค่าเดียวซึ่งไม่แทนทั้งหมด และเงื่อนไขยาวอาจถูกตัด ข้อเสนอคือรักษา string กับ null แยกไม่ทราบออกจากปลอดภัย และระบุตั๋วเก่าที่ไม่มีข้อมูล จำนวน alert เท่าเดิมไม่พิสูจน์ว่าข้อมูลเวอร์ชันครบ
ตรวจระบบเชื่อมด้วยตัวอย่างที่เป็นตัวแทน
เก็บ response ที่ลบความลับ เวลาเก็บ ID alert และตำแหน่ง manifest ตรวจกรณี lockfile เงื่อนไข และ null ไปจนถึงหน้าตั๋ว หากรับทั้ง webhook และ polling ให้เทียบ repository กับ ID ป้องกันตั๋วซ้ำ ตรวจสิทธิ์ตาม endpoint นี่เป็นข้อเสนอปฏิบัติการ ไม่ใช่ฟีเจอร์ซ่อมอัตโนมัติใหม่
หากต้องรู้เวอร์ชัน deployment ปัจจุบัน ให้ดูหลักฐาน build และการนำขึ้นระบบแยกกัน หลังอัปเดตให้รันทดสอบและอ่านสถานะ alert อีกครั้ง ฟิลด์อาจลดการค้นข้อมูลแต่ไม่แทนการตรวจ release ผู้รับผิดชอบควรแยกเงื่อนไข ค่าไม่ทราบ และค่าตัวแทน แล้วรู้ว่าต้องขอหลักฐานใดต่อ
แหล่งข้อมูลทางการ
GitHub Changelog · Dependency versions
GitHub Docs · Dependabot alerts REST API
ตรวจสอบ 21 ตุลาคม 2026 ลองเทียบ response หนึ่งรายการกับป้ายเวอร์ชันในตั๋วความปลอดภัย