Большая часть приложения — сторонние библиотеки. TRAIO запускает несколько анализаторов зависимостей и сводит их находки в один список без дублей.
Уязвимость приходит не из вашего кода, а из зависимости третьего уровня
Разные менеджеры пакетов требуют разных анализаторов
Каждый анализатор видит своё — по одному покрытие неполное
Два SCA-сканера дают два пересекающихся списка
OWASP Dependency Check, Dependency Track, Trivy и Retire.js запускаются вместе, а не по очереди — покрытие шире, чем у любого по отдельности.
Syft под капотом строит перечень компонентов, на который опираются анализаторы зависимостей.
Auto Deduplicator сводит одинаковые находки от разных анализаторов в одну запись.
Комментарий в merge request, задача в Jira, Quality Gate на закрытие MR.
Запланируйте демо — подключим репозиторий и покажем первую картину на вашем коде.
Запланировать демо