Paketekosystem som stöds

Beroendegenomsökning stöder både direkta och transitiva beroenden för alla paketekosystem som stöds. Beroendegenomsökning kan inte identifiera leverantörsberoenden på lagringsplatsen.

På grund av hur identifieringen körs för beroendegenomsökning kontrollerar du att du har ett steg för paketåterställning i bygg-pipelinen så att rätt paketversion fastställs, annars kanske resultatet saknas eller är ofullständigt.

Ekosystem och versioner

Pakethanterare Språk Format som stöds Etikett för utvecklingsberoenden Versioner som stöds
Last Rust Cargo.toml, Cargo.lock Stöds ej v1
CocoaPods Swift Podfile.lock Stöds ej saknas
Go-moduler Go go.mod, go.sum Stöds ej saknas
Gradle Java *.lockfile Supported saknas
Maven Java pom.xml Supported saknas
npm JavaScript package-lock.json, package.json, , npm-shrinkwrap.jsonlerna.json Supported v6, v7 & lockfile <= v3
NuGet C# *.packages.config, , *.project.assets*.csproj Stöds ej saknas
pip Python setup.py, requirements.txt Stöds ej saknas
pnpm JavaScript package.json Supported v7, v8
RubyGems Ruby Gemfile.lock Stöds ej saknas
Garn JavaScript package.json Supported v1, v2

Godstransport

Om Cargo cli har installerats med v1.77 eller senare cargo metadata används, vilket är mer exakt.

Go-moduler

Om du använder Go v1.17 eller senare go.mod används direkt, tillsammans med go cli om det finns på agenten. Annars genomsöks go.sum filen.

Maven

Identifiering kräver maven att CLI installeras på agenten.

Utvecklingsberoenden identifieras när de använder beroendeomfånget test .

npm

Beroendegenomsökning identifierar rotfiler package.json men löser inte specifika paketversioner utan en paketåterställning vid byggtillfället även om beroenden i package.json inte är semantiskt versionerade.

Utvecklingsberoenden identifieras av devDependencies egenskapen i package.json och dev flaggan i package-lock.json.

NuGet

Utan en paketåterställning löser beroendegenomsökning inte några specifika paketversioner även om beroenden i *.csproj inte är semantiskt versionerade.

pip

Använd pip v22.2.0 eller högre för att aktivera användning av genomsökning pip report , vilket ger mer exakt identifiering.

Miljövariabeln PIP_INDEX_URL används för att avgöra vilket paketflöde som ska användas för pip install --report detection. Standardvärdet använder PyPi-indexet om inte standardvärdena för pip har konfigurerats globalt.

pnpm

Utvecklingsberoenden identifieras av packages/{package}/dev flaggan i pnpm-låsfilen.

Garn

Utvecklingsberoenden identifieras av devDependencies egenskapen i package.json.

  • Last updated on