Per rilevare quando le librerie open-source comuni vengono introdotte nella codebase, quale strumento dovrebbe essere integrato nella pipeline di build?

WhiteSource (ora Mend) è uno strumento di Software Composition Analysis (SCA) che scansiona il codice sorgente per identificare le librerie open-source, le loro licenze e le vulnerabilità di sicurezza note. Integrandolo nella pipeline di build, è possibile rilevare automaticamente l'introduzione di nuove librerie e valutarne i rischi. "Nessuna modifica richiesta" è errato perché è necessario uno strumento specifico per questa funzionalità. SourceGear Vault è un sistema di controllo versione, non uno strumento SCA. OWASP ZAP è un tool per il Dynamic Application Security Testing (DAST), che analizza le applicazioni in esecuzione per vulnerabilità, non per la composizione delle librerie open-source.