퀴즈: 목록을 취약점 자료와 맞춰 보기

문항 6개. 정답과 해설은 풀어 본 뒤에 보여 드립니다.

1. OSV 범위에서 fixed 로 적힌 버전 자체는 어떻게 판정되는가?

   1. 영향받는 것으로 본다 — 구간의 마지막 버전이다
   2. 판정할 수 없어 사람이 확인해야 한다
   3. 생태계 종류에 따라 달라져 정해져 있지 않다
   4. 영향받지 않는 것으로 본다 — 거기서 고쳐졌기 때문이다

2. last_affected 의 경계 판정이 fixed 와 반대인 이유는?

   1. 심각도가 높은 권고에만 쓰이는 필드라서
   2. 생태계 종류가 ECOSYSTEM 일 때만 쓰이는 필드라서
   3. '여기까지 영향받는다' 는 뜻이라 그 값 자체가 아직 영향 안이라서
   4. 값이 커밋 해시라 순서 비교가 불가능해서

3. 버전을 문자열로 비교하면 무엇이 잘못되는가?

   1. 1.9.0 이 1.10.0 보다 크다고 나온다
   2. 선행 v 가 붙은 버전을 읽지 못한다
   3. 빌드 메타데이터가 잘려 나간다
   4. 정렬은 맞지만 비교 속도가 느려진다

4. 한 권고의 events 에 introduced 가 두 번 나오는 경우는 무엇을 뜻하는가?

   1. 자료가 잘못 작성된 것이므로 무시해야 한다
   2. 같은 결함이 서로 다른 두 구간에서 영향을 준다는 뜻
   3. 심각도가 두 단계로 나뉜다는 뜻
   4. 두 생태계에 같은 이름의 패키지가 있다는 뜻

5. 면제(waiver)를 '고칠 판이 없는 것' 에만 주어야 하는 이유는?

   1. 고칠 판이 있는 것은 심각도가 낮게 매겨지기 때문에
   2. 면제 파일의 크기를 줄여야 하기 때문에
   3. 고칠 수 있는데도 면제가 통하면 관문이 그날부터 장식이 되기 때문에
   4. 자료 제공자가 그렇게 요구하기 때문에

6. 개발 전용 의존의 취약점을 배포 의존과 다른 칸에 두는 이유는?

   1. 배포 산출물에 실리지 않아 사용자에게 닿는 경로가 다르기 때문에
   2. 개발 전용 의존은 취약점 자료에 등록되지 않아서
   3. 개발 전용 의존은 버전 비교 규칙이 다르기 때문에
   4. 스캐너가 개발 전용 의존을 읽지 못하기 때문에