🗄 Как проверить зависимости проекта на уязвимости
🗄 Как проверить зависимости проекта на уязвимости Как обнаружить уязвимые зависимости, оценить риски, обновить библиотеки и автоматизировать проверки безопасности в CI с помощью npm audit, pip-audit и OSV-Scanner. Перед релизом вы запускаете проверку зависимостей и находите чуждую этому проекту библиотеку. Ее никто в команде не добавлял напрямую: она пришла как транзитивная зависимость одного из пакетов, который вы сами подключили. Теперь нужно выяснить, используется ли уязвимый код из этой библиотеки в приложении. Для этого придется определить, через какую цепочку зависимостей была установлена эта библиотека и что именно необходимо менять: саму библиотеку или пакет выше по цепочке, подключающий ее. Так исправление, лежащее в обновленном lock-файле репозитория, дойдет до продакшена. 🗄 Читать статью — линк. // Не хакинг, а ИБ