Google ha lanciato un nuovo servizio Open Source Insights (deps.dev), che visualizza l'intero grafo delle dipendenze dirette e indirette per i pacchetti distribuiti tramite i repository NPM, Go, Maven e Cargo (a breve sarà disponibile anche il supporto per NuGet e PyPI). L'obiettivo principale del servizio è analizzare la diffusione delle vulnerabilità nei moduli e nelle librerie presenti nella catena delle dipendenze, il che può rivelarsi utile per identificare vulnerabilità nelle dipendenze con elevata nidificazione (dipendenze delle dipendenze).
Tra i possibili ambiti di applicazione si menziona anche l'analisi della conformità delle licenze del progetto (viene mostrata la statistica sulle licenze utilizzate nelle dipendenze), il monitoraggio delle nuove versioni e degli eventi legati alle dipendenze (ad esempio, l'identificazione delle vulnerabilità) e la valutazione dei progetti dipendenti (è possibile consultare un report sui progetti che utilizzano direttamente la libreria specificata o tramite altre dipendenze). I dati provengono dai repository di pacchetti e dai dati di GitHub, incluse le Issues.
Fonte: opennet.ru
