Google a lancé un nouveau service Open Source Insights (deps.dev) qui visualise le graphique complet des dépendances directes et indirectes pour les paquets distribués via les dépôts NPM, Go, Maven et Cargo (le support de NuGet et PyPI sera ajouté prochainement). L'objectif principal du service est d'analyser la propagation des vulnérabilités dans les modules et bibliothèques présents dans la chaîne de dépendances, ce qui peut s'avérer utile pour détecter les vulnérabilités dans les dépendances à plusieurs niveaux d'imbrication (dépendances des dépendances).
Parmi les autres domaines d'application, on mentionne l'étude de la propreté des licences du projet (des statistiques sur les licences utilisées dans les dépendances sont affichées), le suivi des nouvelles versions et des événements liés aux dépendances (par exemple, la détection de vulnérabilités) et l'évaluation des projets dépendants (il est possible de consulter un rapport sur les projets utilisant directement la bibliothèque indiquée ou via d'autres dépendances). Les sources de données incluent des dépôts de paquets et des données provenant de GitHub, y compris les Issues.
Source : opennet.ru
