O Que É uma Dependência Transitiva?

Uma dependência transitiva é um pacote do qual seu projeto depende indiretamente: você depende de A, e A depende de B, então B é uma dependência transitiva sua. Projetos modernos costumam ter muito mais dependências transitivas do que diretas. Elas ainda fazem parte do seu software e da sua superfície de ataque, mesmo que você nunca as tenha nomeado.

Por que isso importa

A maioria das vulnerabilidades de supply chain chega por meio de dependências transitivas que você nunca escolheu explicitamente. Lockfiles as fixam, SBOMs as inventariam e scanners as sinalizam, e é por isso que gerenciar apenas suas dependências diretas deixa a maior parte do seu código sem controle.

Conceitos relacionados

• Capturadas e fixadas por lockfiles
• Listadas em um SBOM completo
• Um vetor comum para ataques de supply chain

Guias relacionados