Je scant 50 Node.js-projecten met WhiteSource. Elk project bevat package.json-, package-lock.json- en npm-shrinkwrap.json-bestanden. Je wilt dat WhiteSource alleen de libraries rapporteert waarnaar je projecten expliciet verwijzen. Welke actie moet je ondernemen?

De correcte actie is het toevoegen van een devDependencies-sectie aan package.json (niet package-lock.json, zoals in de vraag staat, wat een veelvoorkomende verwarring is). WhiteSource scant standaard alle afhankelijkheden. Door ontwikkelafhankelijkheden (zoals testframeworks of build-tools) in devDependencies te plaatsen, kan WhiteSource worden geconfigureerd om deze te negeren en alleen de productafhankelijkheden te rapporteren die essentieel zijn voor de runtime van de applicatie. De File System Agent plug-in is een methode om bestanden te scannen, maar beheert niet welke afhankelijkheden worden gerapporteerd. De Artifactory plug-in is voor integratie met Artifactory repositories, niet voor het filteren van afhankelijkheden. Het verwijderen van package-lock.json zou leiden tot onvoorspelbare afhankelijkheidsresolutie en is geen oplossing voor het filteren van rapporten.