CIでやりたい最低限のNodeセキュリティ対策

CIでやりたい最低限のNodeセキュリティ対策

1. 依存パッケージの脆弱性診断（SCA）対象ツール：Snyk、OSV-Scanner、npm audit SCA（Software Composition Analysis）は、package.json や package-lock.json を解析し、依存パッケージに既知の脆弱性（CVE）がないかチェックします。 CI では OSV-Scanner をベースにして、さらに必要なら Snyk を足す。npm audit …