WhiteSource Bolt ha scansionato un progetto Node.js e ha segnalato molte librerie con licenze non valide. Queste librerie sono solo per lo sviluppo e non fanno parte del deployment di produzione. Per garantire che WhiteSource Bolt scansioni solo le dipendenze di produzione, quali due azioni dovresti eseguire?

Per garantire che WhiteSource Bolt scansioni solo le dipendenze di produzione, è fondamentale che solo le dipendenze di produzione siano presenti durante la scansione. Eseguire npm install --production installa solo i pacchetti elencati in dependencies nel file package.json, escludendo quelli in devDependencies che sono per lo sviluppo. Successivamente, configurare WhiteSource Bolt per scansionare solo la directory nodemodules assicura che l'analisi si concentri esclusivamente sui pacchetti installati, ignorando altri file o directory del progetto che potrebbero contenere riferimenti a dipendenze di sviluppo non installate o non pertinenti per la produzione. Modificare la policy di WhiteSource Bolt non impedirebbe la scansione di licenze non valide, ma cambierebbe solo come vengono gestite dopo essere state rilevate. Modificare la sezione devDependencies non è una soluzione diretta, poiché il problema è la presenza di queste dipendenze durante la scansione, non la loro definizione.