GitLab依赖扫描提示package-lock.json不支持，扫描是否未执行？

结论 #

该提示不代表扫描未执行，你的依赖扫描Job已经完全正常完成。

关键判断依据（来自Job完整输出） #

• Job最终显示Job succeeded，无报错终止
• 成功生成并上传了核心扫描产物：gl-dependency-scanning-report.json（依赖漏洞扫描报告文件）
• 同时生成并上传了SBOM文件（gl-sbom-*.cdx.json），说明依赖分析流程已完整执行

提示信息具体含义 #

日志中的 Cannot auto-remediate dependency file, not supported: package-lock.json 仅指向：

• 当前使用的Gemnasium analyzer v4.10.3不支持对lockfileVersion为3的package-lock.json执行自动修复操作（即自动创建修复漏洞的合并请求）
• 该限制仅针对自动修复功能，不影响依赖扫描、漏洞检测的核心流程

你的Job配置 #

gemnasium-dependency_scanning:
  rules:
    - when: on_success
  dependencies: ["nodejs_build"]

内容的提问来源于stack exchange，提问作者Lubo