依存関係内の特定の脆弱性やCVEをAikidoが発見しない理由
場合によっては、Aikido が他のツールよりも少ない脆弱性しか表示しないことがあります。これにはいくつかの理由が考えられます。
- その脆弱性が Aikido のルールエンジンによって自動的に無視（ignore）されている。Aikido は誤検知（false positive）を避けるよう努めています。この場合、サイドバーの「Ignored」ビューでその脆弱性を確認できます。また、その脆弱性が影響しないと Aikido が判断した理由の説明も確認できます。
- その脆弱性が、開発者専用の依存関係（developer-only dependency）としてマークされている可能性がある。デフォルトでは、Aikido は開発者のマシンにのみインストールされる依存関係についての脆弱性を報告しません。これは、それらが本番環境にデプロイされることはなく、稼働中の製品のセキュリティに影響を与えないという前提に基づいています。そのような依存関係の例:
- npmのpackage.jsonにおける開発用依存関係（Dev dependencies）
- Javaのpom.xmlでscope=testとマークされた依存関係