ai-cfia / ai-cfia/github-workflows
Add --omit dev to frontend SBOM workflow
Offen
#228
0 Kommentare
0 Reaktionen
0 zugewiesene Personen
Beansprucht von @Slumberdac
Auf GitHub ansehen
- Vorherrschende Sprache
- Keine Sprachdaten
- Sterne
- 2
- Forks
- 0
- PR-Merge-Kennzahlen
- Keine gemergten PRs in 30 T.
Beschreibung
## Summary
`workflow-generate-frontend-sbom.yml` generates a production SBOM but includes devDependencies. Since devDependencies don't ship to production, they should be excluded for more accurate security scanning.
## Suggested fix
Add `--omit dev` to the `cyclonedx-npm` command, or expose it as an input parameter (e.g. `npm-omit`, defaulting to `dev`).
```diff
npx @cyclonedx/cyclonedx-npm package-lock.json \
--output-reproducible \
--package-lock-only \
+ --omit dev \
-v --sv "${CDX_SV}" \
-o sbom.json
```
Beitragsleitfaden
Für dieses Repository ist kein Beitragsleitfaden indexiert
Bewertung
Dieses Issue wurde noch nicht bewertet.