Анализатор зависимостей

Анализатор зависимостей в интерфейсе Axelix

Приложение тянет десятки библиотек, большинство из них транзитивно. По файлу сборки не видно, какие из них заброшены или перешли в режим поддержки и больше не получат исправлений безопасности. Также не видно, получает ли ещё OSS-обновления ветка Spring Boot (минорная версия, например 3.5.x), на которой работает приложение. Анализатор зависимостей показывает и то и другое для конкретного сервиса.

Страница доступна только для чтения всем пользователям, прошедшим аутентификацию: ее могут открыть VIEWER, EDITOR, ADMIN и SUPER_ADMIN. Полную матрицу ролей и полномочий см. в разделе Роли и полномочия.

Что показывает страница

Первым идёт окно поддержки Spring Boot. Оно показывает, на какой ветке Spring Boot работает сервис, когда для неё заканчивается или закончилась OSS-поддержка, есть ли коммерческая поддержка, сколько времени ветка уже без OSS-поддержки и какая ближайшая ветка ещё поддерживается. После окончания OSS-поддержки ветка больше не получает OSS-релизов, включая исправления безопасности: CVE исправляются только по коммерческой подписке.

Ниже перечислены все библиотеки runtime classpath с версиями и с тем, объявлена ли библиотека напрямую в файле сборки или пришла транзитивно. Проекты, которые больше не развиваются активно, отмечены:

• В режиме поддержки: разработка новых возможностей остановлена, выходят только критические исправления.
• Неактивный: релизов давно нет, но авторы ничего не объявляли. В отличие от других статусов, это наблюдение Axelix, а не заявление авторов.
• Официально прекращён: проект завершён. Никаких релизов, включая исправления безопасности, не ожидается.

Раскройте библиотеку, чтобы увидеть:

• путь от приложения до этой библиотеки, то есть какая прямая зависимость её притянула;
• статус её проекта;
• ссылку на страницу проекта, на которой основан статус.

Как это работает

При сборке build-плагин Axelix записывает граф runtime-зависимостей приложения в архив приложения в виде CycloneDX SBOM. Axelix Spring Boot Starter отдаёт этот файл в Master. Когда вы открываете страницу, Master сопоставляет библиотеки со своим каталогом проектов и данными о ветках Spring Boot.

Библиотека, проекта которой нет в каталоге, показывается без статуса. Это значит, что Axelix ничего о ней не утверждает, а не что с проектом всё в порядке.

Для страницы нужны стартер и build-плагин Axelix версии 1.2.0 или новее. Для сервисов на более старых версиях страница не показывается на боковой панели Профиля сервиса. Как их обновить, см. в разделе Политика обновления Axelix.

См. также

• Настройка плагина сборки Axelix
• Профиль сервиса