A Google lançou um novo serviço chamado Open Source Insights (deps.dev), que visualiza um gráfico completo de dependências diretas e indiretas para pacotes distribuídos através de repositórios NPM, Go, Maven e Cargo (em breve, o suporte para NuGet e PyPI também será adicionado). O principal objetivo do serviço é analisar a disseminação de vulnerabilidades em módulos e bibliotecas presentes na cadeia de dependências, o que pode ser útil para identificar vulnerabilidades em dependências de nível profundo (dependências de dependências).
Entre as possíveis áreas de aplicação, também é mencionada a análise da conformidade com as licenças do projeto (mostrando estatísticas sobre quais licenças são utilizadas nas dependências), o acompanhamento do lançamento de novas versões e eventos relacionados às dependências (por exemplo, identificação de vulnerabilidades) e a avaliação de projetos dependentes (é possível ver um relatório sobre quais projetos utilizam a biblioteca especificada diretamente ou através de outras dependências). Dados de repositórios de pacotes e informações do GitHub, incluindo Issues, são utilizados como fontes de dados.
Fonte: opennet.ru
