Sie scannen 50 Node.js-Projekte mit WhiteSource. Jedes Projekt enthält die Dateien package.json, package-lock.json und npm-shrinkwrap.json. Sie möchten, dass WhiteSource nur die Bibliotheken meldet, auf die Ihre Projekte explizit verweisen. Welche Maßnahme sollten Sie ergreifen?

Die korrekte Antwort ist, einen devDependencies-Abschnitt zu package-lock.json hinzuzufügen. WhiteSource (jetzt Mend) berücksichtigt standardmäßig die Abhängigkeiten, die in package.json und package-lock.json aufgeführt sind. Um nur explizit referenzierte Bibliotheken zu scannen und Entwicklungstools auszuschließen, die nicht in der Laufzeitumgebung benötigt werden, müssen diese als devDependencies in der package.json deklariert werden. WhiteSource kann dann so konfiguriert werden, dass es diese ignoriert. Das Konfigurieren des File System Agent-Plug-ins ist zu allgemein und spezifiziert nicht, wie die Filterung der Abhängigkeiten erreicht wird. Das Artifactory-Plug-in wird für die Integration mit Artifactory verwendet, nicht für die Filterung von Abhängigkeiten innerhalb eines Projekts. Das Löschen von package-lock.json würde die genauen Versionen der installierten Abhängigkeiten entfernen und die Build-Reproduzierbarkeit beeinträchtigen, ohne das Problem der Filterung von devDependencies zu lösen.