レポートとにらめっこしてる。防げないため、直接は関係しないが、芽を摘んでおくことは良いことであるはず。クソデカになっていくのがなかなか悩ましい。(これは他の言語のビルドファイルでも同じかもしれない。)当たり前だがライブラリを使えば、その可能性は高まる。yamory.io↑の記事にもある通り、依存先が古くて駄目というのはよくある。開発がアクティブでない場合は残念ながら期待できないであろう。そのため、使用するライブラリの開発がアクティブかどうかは選定における重要な要素の一つである。「直接使わないのだが」明示するしかない。クソデカになっていく...。逆に不要なライブラリであれば、削るという対策もできる場合がある。実際に不要なものが入っていることはそうそうないが、たまに記述ミスか何かで入ってるのを見かけることはある。junit:junitたとえば、開発者がテスト用のサブプロジェクトをうっかり依存を入れ込むと↑のようなことになる。ため、だいたい気付ける。残るため、推移先すべてを指定しないと駆逐できない。(つまり、成果物に入ってしまう。以下が成果物に入ってしまう。するような書き方をするのが最善と思われる。'junit'}こういうことをやって、少しずつ脆弱性のあるライブラリを成果物から取り除いていくことで安心して眠れるようになりたい。12はてなブログをはじめよう!fd0さんは、はてなブログを使っています。ブログを報告する引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。