L'azienda Google ha lanciato un nuovo servizio Open Source Insights (deps.dev), che visualizza un grafico completo delle dipendenze dirette e indirette per i pacchetti distribuiti tramite i repository NPM, Go, Maven e Cargo (a breve verrà aggiunta anche la supporto per NuGet e PyPI). Lo scopo principale del servizio è l'analisi della diffusione delle vulnerabilità nei moduli e nelle librerie presenti nella catena delle dipendenze, il che può risultare utile per identificare vulnerabilità in dipendenze con un alto livello di annidamento (dipendenze delle dipendenze).
Tra le possibili aree di applicazione si menzionano anche lo studio della pulizia delle licenze del progetto (viene mostrata la statistica sulle licenze utilizzate nelle dipendenze), il monitoraggio delle nuove versioni e degli eventi legati alle dipendenze (ad esempio, l'identificazione delle vulnerabilità) e la valutazione dei progetti dipendenti (è possibile consultare un rapporto su quali progetti utilizzano la libreria indicata direttamente o tramite altre dipendenze). Come fonti di dati vengono utilizzati i repository di pacchetti e i dati di GitHub, inclusi gli Issues.
Fonte: opennet.ru
