Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Amazon Inspector SBOM Generator individua e analizza gli artefatti supportati all'interno di un sistema identificando le dipendenze direttamente dai file di origine. Non è un gestore di pacchetti e non risolve intervalli di versioni, deduce versioni basate su riferimenti dinamici o gestisce le ricerche nel registro. Raccoglie le dipendenze solo così come sono definite negli artefatti sorgenti del progetto. In molti casi, le dipendenze nei manifesti dei pacchetti, ad esempio, o, vengono specificate utilizzando package.json versioni non pom.xml risolte o requirements.txt basate su intervalli. Questo argomento include esempi di come potrebbero apparire queste dipendenze.
Raccomandazioni
Amazon Inspector SBOM Generator estrae le dipendenze dagli artefatti di origine, ma non risolve o interpreta intervalli di versioni o riferimenti dinamici. Per una scansione più accurata delle vulnerabilità SBOMs, consigliamo di utilizzare identificatori di versione semantici risolti nelle dipendenze del progetto.
Java
In Java, Maven i progetti possono utilizzare intervalli di versioni per definire le dipendenze nel file. pom.xml
<dependency> <groupId>org.inspector</groupId> <artifactId>inspector-api</artifactId> <version>(,1.0]</version> </dependency>
L'intervallo specifica che qualsiasi versione fino alla 1.0 inclusa è accettabile. Tuttavia, se una versione non è una versione risolta, Amazon Inspector SBOM Generator non la raccoglierà perché non può essere mappata a una versione specifica.
JavaScript
In JavaScript, il package.json file può includere intervalli di versioni simili ai seguenti:
"dependencies": { "ky": "^1.2.0", "registry-auth-token": "^5.0.2", "registry-url": "^6.0.1", "semver": "^7.6.0" }
L'^operatore specifica che qualsiasi versione superiore o uguale alla versione specificata è accettabile. Tuttavia, se la versione specificata non è una versione risolta, Amazon Inspector SBOM Generator non la raccoglierà perché così facendo si possono generare falsi positivi durante il rilevamento delle vulnerabilità.
Python
In Python, il requirements.txt file può includere voci con un'espressione booleana.
requests>=1.0.0
L'>=operatore specifica che qualsiasi versione maggiore o uguale a 1.0.0 è accettabile. Poiché questa particolare espressione non specifica una versione esatta, Amazon Inspector SBOM Generator non è in grado di raccogliere in modo affidabile una versione per l'analisi delle vulnerabilità.
Amazon Inspector SBOM Generator non supporta identificatori di versione non standard o ambigui, come beta, latest o snapshot.
pkg:maven/org.example.com/testmaven@1.0.2%20Beta-RC-1_Release
Nota
L'uso di un suffisso non standard, ad esempio Beta-RC-1_Release, non è conforme alle versioni semantiche standard e non può essere valutato per individuare eventuali vulnerabilità all'interno del motore di rilevamento Amazon Inspector.
