20 октября 2026 года GitHub добавил version_requirement в объект dependency предупреждений Dependabot. Поле помогает получать записанную версию зависимости через REST API без отдельного разбора lockfile или дополнительного запроса GraphQL. На Mentoring.digital объясняем, что изменилось для разработчиков интеграций.
Почему это не всегда одна точная версия
При обнаружении через lockfile значение соответствует разрешённой версии. Для манифеста без lockfile это может быть ограничение, указанное автором проекта. При использовании Dependency submission API возвращается разрешённая версия, переданная инструментом сборки. Поэтому строку нельзя безусловно трактовать как один установленный номер.
GitHub отдельно указывает ограничения: поле может быть null, длинное условие может обрезаться, а одно записанное значение не обязательно описывает все уязвимые версии в предупреждении. Оно отражает сведения, которые Dependabot зафиксировал, и не заменяет проверку фактического состава развёрнутого приложения.
Что изменить в обработчике
Редакционный следующий шаг: найдите, где ваша система связывает предупреждение с версией пакета. Разделите название пакета, уязвимый диапазон из advisory и новое записанное значение. Не подставляйте пустую строку вместо неизвестной версии: так можно потерять различие между отсутствием данных и настоящим результатом.
Для проверки подготовьте обезличенные варианты ответа: точный номер, диапазон и null. Убедитесь, что интерфейс не подписывает каждый из них словом «установлено». Если несколько версий участвуют в одном проекте, сохраните это ограничение в результате сопоставления, а не объявляйте весь проект проверенным по одной строке.
Где появилось поле
Изменение относится к отдельным предупреждениям, спискам репозитория, организации и предприятия, а также webhook dependabot_alert. Оно доступно на github.com и GitHub Enterprise Cloud с размещением данных; для GitHub Enterprise Server указана будущая версия 3.24. Это отдельное изменение контракта API, а не повтор новости о поддержке новых пакетных менеджеров.
Для разбора схемы данных и обработки необязательных полей можно выбрать наставника по API. Полезный результат проверки интеграции: понятное происхождение значения и честное отображение неизвестного. Редакция не выполняла запросы к закрытым репозиториям читателей.
