Dependabot thêm trường phiên bản: bản ghi không chứng minh phiên bản triển khai
Ngày 20/10/2026 GitHub thêm dependency.version_requirement vào phản hồi REST của cảnh báo Dependabot. Trường giúp điều tra nhưng không chứng nhận phiên bản đang cài trong production. Cần tách tính năng chính thức khỏi đề xuất kiểm tra vận hành.
Tách khoảng dễ tổn thương và bản ghi kho mã
vulnerable_version_range là khoảng bị ảnh hưởng trong thông báo bảo mật. Trường mới chứa phiên bản hoặc ràng buộc Dependabot ghi nhận gần nhất cho cảnh báo. Giữ gói, hệ sinh thái và manifest_path cùng cả hai giá trị. Ràng buộc không phải một phiên bản đã cài; nhãn rõ giúp tránh sắp xếp sai.
Đường phát hiện quyết định ý nghĩa
Lockfile cho phiên bản đã phân giải; manifest không có lockfile cho phiên bản hoặc ràng buộc khai báo; dependency submission API cho phiên bản phân giải do công cụ build gửi. Trường có trong cảnh báo đơn, danh sách kho mã, tổ chức, doanh nghiệp và webhook dependabot_alert. Hiện có trên github.com và Enterprise Cloud với lưu trú dữ liệu; sẽ vào Enterprise Server 3.24. Không mặc định máy chủ cũ đã hỗ trợ.
null và phạm vi một phần là đầu vào bình thường
Không có giá trị thì là null. Cảnh báo chứa nhiều phiên bản dễ tổn thương có thể chỉ ghi một giá trị không đại diện tất cả; ràng buộc dài có thể bị cắt. Đề xuất: giữ chuỗi và null, không coi chưa biết là an toàn, đánh dấu phiếu cũ thiếu dữ liệu. Cùng số cảnh báo không chứng minh thông tin phiên bản đầy đủ.
Kiểm tra tích hợp bằng trường hợp đại diện
Lưu phản hồi đã xóa bí mật, giờ thu thập, mã cảnh báo và đường manifest. Theo dõi trường hợp lockfile, ràng buộc và null tới giao diện phiếu. Đối chiếu webhook và truy vấn danh sách bằng kho mã cùng mã cảnh báo để tránh trùng. Kiểm tra quyền theo endpoint. Đây là đề xuất vận hành, không phải tính năng tự sửa mới.
Muốn biết triển khai hiện tại, cần xem riêng hồ sơ build và deployment. Sau cập nhật, chạy kiểm thử và đọc lại trạng thái cảnh báo. Trường có thể giảm công điều tra nhưng không thay xác minh bản phát hành. Người phụ trách phải phân biệt ràng buộc, chưa biết và phiên bản đại diện rồi chọn bằng chứng tiếp theo.
Nguồn chính thức
GitHub Changelog · Dependency versions
GitHub Docs · Dependabot alerts REST API
Kiểm tra ngày 21/10/2026. So một phản hồi cảnh báo với nhãn phiên bản trong phiếu bảo mật.