WhiteSource Bolt escaneó un proyecto Node.js y marcó muchas librerías con licencias no válidas. Esas librerías son solo para desarrollo y no forman parte del despliegue de producción. Para asegurar que WhiteSource Bolt escanee solo las dependencias de producción, ¿qué dos acciones debería realizar?

Para asegurar que WhiteSource Bolt escanee solo las dependencias de producción, la primera acción es ejecutar npm install --production. Este comando instala únicamente las dependencias listadas en la sección dependencies del archivo package.json, excluyendo las devDependencies que son solo para desarrollo. Esto garantiza que el escaneo se enfoque en lo que realmente se desplegará. La segunda acción es configurar WhiteSource Bolt para escanear solo el directorio nodemodules. Este directorio contiene todas las dependencias instaladas, y al limitar el escaneo a este, se evita procesar archivos de desarrollo o de configuración que no son relevantes para la seguridad de las librerías de producción. Modificar la política de WhiteSource Bolt para reasignar licencias no resuelve el problema de escanear dependencias innecesarias. Modificar devDependencies en package.json no tiene un efecto directo en qué dependencias se instalan para producción a menos que se combine con npm install --production.