使用OWASP Dependency-Check时是否需忽略node_modules目录？

直接排除整个node_modules包的做法并不妥当，这会让你完全错过所有依赖（包括直接和间接依赖）的漏洞风险。但也不用盲目扫描所有内容，以下是实用的经验法则：

• 不要全盘排除node_modules，只排除明确无风险的子集
  整个node_modules包含了你项目的所有依赖，直接排除等于放弃了依赖漏洞检测的核心价值。正确的做法是让工具扫描完整的node_modules，仅用--exclude参数排除那些确定无风险的目录，比如本地开发用的mock包、测试工具类依赖等。

• 按依赖类型区分处理优先级

  • 直接依赖：也就是你在package.json里显式声明的依赖，优先处理。这类依赖你可以直接升级版本，或者替换为更安全的替代方案，可控性强。
  • 间接依赖：通过直接依赖引入的深层依赖，先检查对应的直接依赖是否已经发布了修复版本（查看其更新日志或GitHub issue）。如果直接依赖未修复，可尝试用npm audit fix自动修复，或者通过npm overrides/yarn resolutions字段强制升级有漏洞的子依赖；如果漏洞是低危且你的应用未用到相关功能，可标记为可接受风险。

• 结合应用场景评估漏洞实际威胁
  不是所有CVE漏洞都能影响你的Angular应用：比如某个依赖的漏洞涉及服务端文件上传，但你的应用是纯前端单页应用，这个漏洞就没有利用条件。一定要查看CVE详情，确认漏洞的影响范围、触发条件，再判断是否需要处理。

• 建立常态化扫描机制
  把Dependency-Check集成到CI/CD流程中，每次代码提交或构建时自动扫描，防止新引入的漏洞；同时定期手动运行扫描，结合npm audit工具，及时跟进依赖的安全更新。

内容的提问来源于stack exchange，提问作者ssougnez