Dependabot新增版本欄位：記錄值不等於實際部署版本
GitHub於2026年10月20日在Dependabot警報REST回應中加入dependency.version_requirement。它能補充調查線索，卻不能證明正式環境目前安裝的精確版本。應把官方功能與團隊自行選擇的作業檢查分開。
漏洞範圍與儲存庫記錄應分欄
原有vulnerable_version_range描述公告涉及的漏洞版本範圍。新欄位是Dependabot為該警報最後記錄的版本或限制條件。應同時保存套件、套件生態系與manifest_path。條件並非單一安裝版本，介面使用「記錄版本／條件」標籤，比直接按版本號排序更能避免誤判。
偵測路徑決定字串意義
lockfile提供解析後版本，沒有lockfile的manifest提供宣告版本或條件，dependency submission API提供建置工具提交的解析版本。欄位見於單一警報、儲存庫、組織與企業清單，以及dependabot_alert webhook。github.com及支援資料落地的Enterprise Cloud已提供，Enterprise Server 3.24將包含此功能，不能推論舊Server已支援。
將null與不完整涵蓋視為正常輸入
沒有值時為null。一個警報涉及多個易受攻擊版本時，一個記錄值可能無法代表全部，長條件也可能被截斷。建議保留字串與null，不把未知改成安全，並標示舊工單的缺值。警報總數相同不能證明版本資訊完整。
用代表警報驗證整段同步流程
保存移除機密的回應、擷取時間、警報編號與manifest路徑。將lockfile值、manifest條件、null三類案例一路核對到工單介面。同時接收webhook與輪詢清單時，以儲存庫與警報ID避免重複工單。依各端點文件檢查權限，不為測試方便全面擴權。這是維運建議，不是新的自動修復承諾。
要確認目前部署，應另查建置與部署記錄。更新相依套件後執行現有測試並重讀警報狀態。新欄位可減少調查步驟，卻不能取代發版驗證。驗收重點是負責人能分辨條件、未知與代表性記錄版本，並知道還需要哪項證據。
官方來源
GitHub Changelog · Dependency versions
GitHub Docs · Dependabot alerts REST API
核查日期：2026年10月21日。對照一筆警報回應與安全工單上的版本標籤。