В алертах Dependabot REST API теперь отдают версию зависимости из репозитория

В ответах REST API для алертов Dependabot появилось поле version_requirement : версия или ограничение, которое Dependabot последний раз записал по зависимости. Раньше в том же JSON уже был диапазон уязвимости из advisory, но не версия из вашего репозитория. Если вы синхронизируете алерты с другими инструментами безопасности, отдельно разбирать lockfile или ходить в GraphQL за vulnerableRequirements ради этой строки больше не обязательно. Откуда берётся значение Lockfile , зафиксированная версия. Манифест без lockfile , версия или ограничение из манифеста. Dependency submission API , версия, которую передала сборка. Поле может быть null , если данных нет. Несколько уязвимых версий одной зависимости в одном алерте сводятся к одному записанному значению , не ко всему набору. Длинные ограничения версий иногда обрезаются. Поле есть в ответе по одному алерту, в списках на уровне репозитория, организации и enterprise, а также в webhook-событии dependabot_alert . Уже на github.com и GitHub Enterprise Cloud с data residency; в GitHub Enterprise Server войдёт в релиз 3.24 . Источник: Dependabot alerts REST API now includes dependency versions .