{
  "fixture": "npm-nolock",
  "category": "dependency",
  "input": {
    "kind": "source",
    "ref": "fixtures/npm-nolock"
  },
  "componentsComplete": true,
  "vulnComplete": false,
  "notes": "package.json만(lockfile 없음). node-lock과 같은 의존성으로 lock 유무를 대조한다. minimist 1.2.5 직접, debug 4.3.1 직접, ms 2.1.2 전이(debug 4.3.1 이 ms 를 2.1.2 로 정확히 핀하므로 lockfile 없이도 폐쇄가 결정적). 매니페스트만 읽는 도구는 전이(ms)를 놓치고, 해석/빌드 도구는 찾는다. 완전 정답 3개라 precision 까지 채점해 미탐과 과탐을 함께 본다. 취약점은 minimist 의 CVE-2021-44906(고침 1.2.6). 정답 도출 절차(2026-07-03 재검증 일치): 임시 사본에서 npm install --ignore-scripts 후 npm ls --all — 정확 핀이라 결정적으로 debug 4.3.1(전이 ms 2.1.2), minimist 1.2.5. 반드시 임시 사본에서 실행한다: 과거 fixture 디렉토리에 lockfile 잔여물이 남아 파서 도구 점수가 부풀려진 오염 사고가 있었다(2026-07-02 비공개 검증 대조로 발견, 재스캔 정정). CVE-2021-44906 의 GHSA 별칭(GHSA-xvch-5gv4-984h, OSV 교차 확인)을 큐레이션 — GHSA 로 보고하는 도구(dependency-check 의 NPM Audit)도 TP 로 인정된다.",
  "components": [
    {
      "purl": "pkg:npm/minimist@1.2.5",
      "version": "1.2.5",
      "licenses": [
        "MIT"
      ],
      "scope": "direct"
    },
    {
      "purl": "pkg:npm/debug@4.3.1",
      "version": "4.3.1",
      "licenses": [
        "MIT"
      ],
      "scope": "direct"
    },
    {
      "purl": "pkg:npm/ms@2.1.2",
      "version": "2.1.2",
      "licenses": [
        "MIT"
      ],
      "scope": "transitive"
    }
  ],
  "vulnerabilities": [
    {
      "cve": "CVE-2021-44906",
      "affectedPurl": "pkg:npm/minimist@1.2.5",
      "fixedVersion": "1.2.6",
      "aliases": [
        "GHSA-xvch-5gv4-984h"
      ]
    }
  ],
  "fnReasons": [
    {
      "id": "pkg:npm/minimist@1.2.5",
      "reason": "입력(매니페스트, lockfile)에 라이선스 메타데이터가 없다 — 패키지 설치나 저장소 조회를 하지 않는 도구는 라이선스를 낼 수 없다",
      "axis": "license"
    },
    {
      "id": "pkg:npm/debug@4.3.1",
      "reason": "입력(매니페스트, lockfile)에 라이선스 메타데이터가 없다 — 패키지 설치나 저장소 조회를 하지 않는 도구는 라이선스를 낼 수 없다",
      "axis": "license"
    },
    {
      "id": "pkg:npm/ms@2.1.2",
      "reason": "입력(매니페스트, lockfile)에 라이선스 메타데이터가 없다 — 패키지 설치나 저장소 조회를 하지 않는 도구는 라이선스를 낼 수 없다",
      "axis": "license"
    },
    {
      "id": "pkg:npm/ms@2.1.2",
      "reason": "전이 의존성 — 매니페스트만 읽는 도구는 전이를 해석하지 못한다(설치, 빌드, lockfile 해석이 필요)",
      "axis": "component"
    },
    {
      "id": "CVE-2021-44906",
      "reason": "이 CVE 가 붙은 컴포넌트를 검출하지 못한 도구는 취약점 매칭도 불가하다 — 컴포넌트 축의 미탐과 연동",
      "axis": "vulnerability"
    }
  ]
}