F-13 Indirecte (transitieve) afhankelijkheden worden mee gescand; bij niveau 2 staan ze ook in de SBOM

Waarom

Het grootste deel van moderne software bestaat uit pakketten van anderen. Eén lek daarin is een lek in jouw app.

Hoe we het controleren

Methode: scan

• Scan: volledig automatisch, met vaste regels. Dezelfde code geeft altijd dezelfde uitkomst.

Deze check zit in de open-source scanner. Bekijk de code van deze check (aiscan/checks/supply.py).

Zo los je een bevinding op

Commit een lockfile zodat ook indirecte afhankelijkheden vastliggen en gescand kunnen worden.