Usted escanea 50 proyectos Node.js usando WhiteSource. Cada proyecto contiene archivos package.json, package-lock.json y npm-shrinkwrap.json. Desea que WhiteSource informe solo las bibliotecas a las que sus proyectos hacen referencia explícitamente. ¿Qué acción debe tomar?

Para que WhiteSource informe solo las bibliotecas a las que sus proyectos Node.js hacen referencia explícitamente, debe configurar sus archivos de manifiesto para distinguir entre dependencias de producción y de desarrollo. WhiteSource, por defecto, escanea todas las dependencias listadas. Al agregar una sección devDependencies a package.json (o package-lock.json, que refleja el contenido de package.json de manera determinista), separamos las dependencias necesarias para el desarrollo (como herramientas de prueba o transpiladores) de las que son esenciales para el tiempo de ejecución de la aplicación. WhiteSource puede configurarse para ignorar las devDependencies durante el escaneo, centrándose solo en las dependencias de producción explícitas. Configurar el complemento File System Agent o Artifactory son acciones relacionadas con la ejecución del escaneo o la integración con repositorios, pero no abordan la distinción de dependencias dentro de los proyectos. Eliminar package-lock.json es incorrecto, ya que este archivo garantiza instalaciones de dependencias consistentes y no controla qué dependencias se escanean.