Dependabot新增版本字段：记录值不等于实际部署版本
GitHub于2026年10月20日在Dependabot警报REST响应中加入dependency.version_requirement。它能补充调查线索，却不能证明生产环境当前安装的精确版本。应把官方功能与团队自行选择的操作检查分开。
漏洞范围和仓库记录应分列
原有vulnerable_version_range描述公告涉及的漏洞版本范围。新字段是Dependabot为该警报最后记录的版本或约束。应同时保存包名、生态和manifest_path。约束并非单一安装版本，界面使用“记录版本／条件”标签，比直接按版本号排序更能避免误判。
检测路径决定字符串含义
lockfile提供解析后的版本，无lockfile的manifest提供声明版本或约束，dependency submission API提供构建工具提交的解析版本。字段见于单个警报、仓库、组织和企业列表以及dependabot_alert webhook。github.com及支持数据驻留的Enterprise Cloud已提供，Enterprise Server 3.24将包含此功能，不能推断旧Server已支持。
把null和不完整覆盖视为正常输入
无值时为null。一个警报涉及多个易受攻击版本时，一个记录值可能无法代表全部，长约束也可能被截断。建议保留字符串和null，不把未知改成安全，并标明旧工单的缺失值。警报总数一致并不能证明版本信息完整。
用代表警报验证整个同步链路
保存去除秘密的响应、采集时间、警报编号和manifest路径。把lockfile值、manifest约束、null三类样本一路核对到工单界面。同时消费webhook和轮询列表时，用仓库与警报ID避免重复工单。按具体端点文档核验权限，不为测试便利全面扩权。这是运营建议，不是新的自动修复承诺。
要确认当前部署，应另查构建与部署记录。更新依赖后运行现有测试并重读警报状态。新字段可以减少调查步骤，却不能取代发布验证。验收重点应是负责人能区分约束、未知和代表性记录版本，并知道还需索取哪项证据。
官方来源
GitHub Changelog · Dependency versions
GitHub Docs · Dependabot alerts REST API
核查日期：2026年10月21日。对照一条警报响应及其安全工单的版本标签。