AZ-400 練習問題 6

あなたは Node.js アプリケーションを WhiteSource Bolt でスキャンします。 スキャンの結果、無効なライセンスを持つ多数のライブラリが検出されましたが、それらは開発時にのみ使用されているものです。 WhiteSource Bolt によって本番 (production) 依存関係のみがスキャンされるようにする必要があります。 実行すべきコマンドはどれですか？

正解: npm install。
解説: WhiteSource Bolt (現 Mend Bolt) は node_modules フォルダー内に実際にインストールされているパッケージをスキャン対象とします。本番依存関係のみに絞るには、スキャンの前に npm install --production（または環境変数 NODE_ENV=production と npm install) を実行して devDependencies を除外したクリーンな node_modules を用意します。これによって開発時にのみ使用するライブラリはインストールされず、Bolt のスキャン対象から外れます。
各選択肢の検討:

• npm edit はインストール済みパッケージのソースを直接編集するためのコマンドで、依存関係のスコープ制御には使えません。
• npm publish は自身のパッケージをレジストリに公開するコマンドであり、依存関係スキャンとは無関係です。
• npm install --production によって devDependencies を除外した node_modules を生成でき、WhiteSource Bolt が本番依存だけをスキャンするようになります。
• npm update は既存依存関係のバージョン更新で、開発用依存を取り除く動作はしません。

参考: Microsoft Learn: Azure Pipelines での JavaScript と Node.js アプリのビルド