WhiteSource Bolt a scanné un projet Node.js et a signalé de nombreuses bibliothèques avec des licences non valides. Ces bibliothèques sont uniquement destinées au développement et ne font pas partie du déploiement en production. Pour vous assurer que WhiteSource Bolt ne scanne que les dépendances de production, quelles sont les deux actions à effectuer ?

Pour exclure les dépendances de développement des scans WhiteSource Bolt, la première action est d'exécuter npm install --production. Cette commande installe uniquement les dépendances listées dans la section dependencies du fichier package.json, ignorant celles de devDependencies, qui sont destinées au développement. La deuxième action consiste à configurer WhiteSource Bolt pour qu'il ne scanne que le répertoire nodemodules. Ce répertoire contient les dépendances installées, et en le ciblant spécifiquement, vous vous assurez que seules les bibliothèques réellement utilisées dans le projet sont analysées. Modifier la politique WhiteSource Bolt pour "Reassign" les licences de développement ne résoudrait pas le problème de l'analyse des dépendances non-production. Modifier la section devDependencies du fichier package.json n'est pas une solution directe pour WhiteSource Bolt, car cela modifierait le projet lui-même plutôt que la manière dont WhiteSource Bolt l'analyse.