Вы сканируете 50 проектов Node.js с помощью WhiteSource. Каждый проект содержит файлы package.json, package-lock.json и npm-shrinkwrap.json. Вы хотите, чтобы WhiteSource сообщал только о библиотеках, на которые явно ссылаются ваши проекты. Какое действие следует предпринять?

Добавление раздела devDependencies в package-lock.json для зависимостей разработки позволяет WhiteSource (или аналогичным инструментам SCA) различать производственные и непроизводственные зависимости. WhiteSource по умолчанию сканирует все зависимости, но если вы хотите сосредоточиться только на явно используемых библиотеках (обычно это производственные зависимости), то правильная конфигурация devDependencies поможет инструменту игнорировать зависимости, необходимые только для разработки или тестирования. Настройка плагина File System Agent не решает проблему фильтрации зависимостей; он лишь определяет, как сканируются файлы. Настройка плагина Artifactory относится к интеграции с репозиторием артефактов, а не к фильтрации зависимостей. Удаление package-lock.json может привести к неконсистентным сборкам и не поможет в фильтрации зависимостей.