이번 소식
GitHub가 2026년 10월 20일 Dependabot 보안 경고에 저장소에서 확인한 의존성 버전 정보를 추가했습니다. REST API 응답의 dependency 객체에 version_requirement 필드가 들어갑니다. 의존성은 프로젝트가 함께 사용하는 외부 패키지를 뜻하며, 이번 변경은 보안 경고를 다른 도구로 가져오는 개발팀에 해당합니다.
달라진 점
기존 응답에는 보안 권고가 설명하는 취약 버전 범위가 있었지만, 저장소에서 기록한 버전은 없었습니다. 이제 잠금 파일을 따로 읽거나 GraphQL의 vulnerableRequirements를 별도로 요청하지 않고 이 값을 받을 수 있습니다.
- 잠금 파일에서 발견했다면 실제로 결정된 버전을 반환합니다.
- 잠금 파일 없이 패키지 선언 파일에서 찾았다면 선언된 버전 또는 버전 조건을 반환합니다.
- Dependency submission API로 제출했다면 빌드 도구가 제출한 버전을 반환합니다.
어떤 점이 달라지나요?
보안 관리 도구로 경고를 모으는 팀은 어떤 패키지 버전이 경고에 연결됐는지 같은 응답에서 확인할 수 있습니다. 개별 경고뿐 아니라 저장소·조직·기업의 경고 목록과 dependabot_alert 웹훅에도 포함됩니다.
사용 전 확인할 점
값을 구할 수 없으면 null입니다. 한 경고가 여러 취약 버전을 포함해도 기록된 값 하나만 반환할 수 있고, 긴 버전 조건은 잘릴 수 있습니다. 따라서 이 필드 하나를 모든 취약 버전의 완전한 목록으로 해석하면 안 됩니다.
github.com과 데이터 지역 지정 기능이 있는 GitHub Enterprise Cloud에서 현재 제공됩니다. GitHub Enterprise Server에는 3.24 버전에 포함될 예정입니다. 공식 발표일은 2026년 10월 20일입니다.
새 글 받아보기
RSS 리더에서 BlogFlow의 새 글을 확인할 수 있습니다.