Abhängigkeiten erkunden

Wie du die Ansicht Dependencies in Craftifact nutzt, um indexierte Komponenten zu suchen, Kandidaten zu prüfen und zu konsumierenden Artefakten zu springen.

Die Ansicht Dependencies ist der Explorer-Tab für Fragen wie „Wo taucht diese Komponente auf?“ und „Welche Artefakte konsumieren sie?“.

Kurzpfad

Öffne Craftifact und gehe zu dem Repository, das du untersuchen willst.
Öffne in Browse das Artefakt, den OCI-Tag oder den OCI-Digest, den du untersuchen willst.
Nutze im Detailbereich Insights -> Dependencies.
Nutze die subject-spezifische Ansicht, um die Komponenten dieser SBOM zu prüfen.
Nutze die Findings-Links, wenn du Schwachstellen-Kontext für dasselbe Subject brauchst.
Nutze die Browse-Handoff-Links, wenn du zurück in die Artefakt-Ansicht springen willst, besonders bei OCI-Inhalten.

Wofür die Ansicht gedacht ist

Die Ansicht Dependencies ist für die Prüfung von Abhängigkeiten gedacht, nicht für Publishing oder SBOM-Uploads. Sie hilft dir dabei:

die Komponentenliste für ein konkretes Artefakt oder OCI-Subject direkt über Insights -> Dependencies zu öffnen,
indexierte Komponenten in einem Repository zu suchen,
bei Bedarf in eine repository-übergreifende Ansicht zu wechseln,
Kandidaten-Treffer zu prüfen, bevor du Consumer öffnest,
von einem Consumer zu den Schwachstellen-Findings für dasselbe Subject zu springen,
von einer Abhängigkeit zurück zu dem Artefakt zu springen, das sie deklariert.

Starte über `Insights`

Für ein konkretes Artefakt oder OCI-Image ist der einfachste Weg meistens keine PURL-Suche. Öffne das Artefakt, den Tag oder den Digest in Browse und nutze dann im Detailbereich Insights -> Dependencies.

Damit öffnest du direkt die subject-spezifische Dependency-Ansicht. Nutze den manuellen Lookup nur, wenn du das Subject noch nicht kennst, über Consumer suchen willst oder den repository-übergreifenden Modus brauchst.

Woher die Daten kommen

Die Ansicht arbeitet mit SBOM-Daten, die Craftifact für ein Artefakt oder OCI-Subject bereits geparst hat. Diese Daten können auf mehreren Wegen entstehen:

das Paket oder Image wurde zusammen mit SBOM-Daten hochgeladen, die Craftifact binden kann,
eine SBOM wurde später über die SBOM-Upload-API hochgeladen,
Craftifact hat eine SBOM für unterstützte Hosted-Maven- oder OCI-Inhalte generiert,
oder dein Workflow folgt den Schritten aus SBOMs mit Client-Tools erzeugen.

Wenn noch keine geparsten SBOM-Daten vorhanden sind, erscheint das Artefakt erst in Dependency-Ergebnissen, sobald Craftifact eine SBOM dafür hat, entweder hochgeladen und gebunden oder für unterstützte Hosted-Inhalte automatisch generiert, und die Verarbeitung abgeschlossen ist.

Repository-spezifischer und repository-übergreifender Lookup

Standardmäßig folgt die Ansicht Dependencies dem aktuell ausgewählten Repository. Das ist der beste Startpunkt, wenn du die relevante Repository-Familie schon kennst.

Wenn du über Browse -> Insights -> Dependencies gekommen bist, bist du bereits auf dem konkreten Subject und musst nicht zuerst eine PURL oder einen Lookup im Format name@version eingeben.

Wenn du breiter suchen musst, kann die Ansicht in einen repository-übergreifenden Modus über alle Repositorys wechseln, die du lesen darfst. In diesem Modus zeigen die Consumer-Zeilen zusätzlich das Quell-Repository, damit du den Treffer vor dem Öffnen besser einordnen kannst.

Kandidatenauswahl und Reverse Lookup

Ein Dependency-Lookup kann mehrere ähnliche Kandidaten zurückliefern. Deshalb hält die Ansicht die Kandidatenauswahl explizit, bevor sie die Consumer-Liste öffnet.

Das ist besonders wichtig, wenn:

derselbe Name in mehreren Ökosystemen vorkommt,
dieselbe Komponente mit und ohne Versions-Pin auftaucht,
dieselbe Abhängigkeit in mehreren lesbaren Repositorys vorhanden ist.

Sobald du den gewünschten Kandidaten auswählst, zeigt der Reverse Lookup die konsumierenden Artefakte, die darauf referenzieren.

Findings-Handoff

Consumer-Zeilen können in Findings für dasselbe Paketartefakt oder OCI-Subject verlinken. Nutze diesen Handoff, wenn die nächste Frage nicht nur „Wo wird diese Komponente verwendet?“ ist, sondern „Welche bekannten Schwachstellen-Findings gibt es für dieses Subject?“.

Die Ansicht Vulnerabilities bleibt subject-spezifisch. Sie nutzt die effektive SBOM für dieses Subject und führt Schwachstellen-Findings aus mehreren SBOM-Dokumenten für dasselbe Artefakt oder Image nicht zusammen.

Browse-Handoff

Die Ansicht Dependencies ersetzt Browse nicht. Sie gibt dich stattdessen an Browse zurück, wenn du die Artefakt-Details, den Paketpfad oder die OCI-Navigation zu einem konkreten Treffer brauchst.

Bei OCI-Inhalten behalten diese Links den namespace-spezifischen Handoff bei, damit du im richtigen Browse-Kontext landest und nicht manuell neu anfangen musst.

Praktische Hinweise

Nutze die Ansicht als Discovery- und Triage-UI. Die verbindlichen Upload- und Binding-Workflows bleiben die SBOM- und Artefakt-Flows.
Bevorzuge Browse -> Insights -> Dependencies, wenn du ein Artefakt, einen Tag oder einen Digest bereits geöffnet hast.
Wenn ein Treffer unvollständig wirkt, prüfe zuerst die subject-spezifische Ansicht Dependencies; generierte Daten können noch pending, skipped oder stale sein.
Wenn du das Repository wechselst, starte den Dependency-Lookup in diesem Kontext neu, außer du willst bewusst den repository-übergreifenden Modus verwenden.