Dependency-Track 捆绑镜像（已弃用）技术文档

1. 镜像概述和主要用途

1.1 概述

本镜像为Dependency-Track平台的捆绑式Docker镜像，整合了dependencytrack/apiserver（API服务器）和dependencytrack/frontend（Web前端）组件，提供一站式部署方案。该镜像已被官方弃用，不再推荐用于新部署。

1.2 主要用途

• 作为Dependency-Track平台的简化部署方案，通过单一镜像提供API服务和Web前端访问能力。
• 适用于快速验证或维护历史遗留部署（不建议用于生产环境）。
• 官方已明确弃用此捆绑镜像，推荐使用分离部署的apiserver和frontend镜像（参见官方文档）。

2. 核心功能和特性

2.1 核心功能

• SBOM驱动的组件分析：基于软件物料清单（SBOM）识别软件供应链中的组件及其依赖关系。
• 风险识别与评估：自动检测组件漏洞、许可证合规性问题及供应链风险（如恶意组件、过时版本）。
• 漏洞管理：集成NVD、GitHub Advisory等漏洞数据库，实时同步组件漏洞信息并生成风险报告。

2.2 镜像特性

• 组件整合：内置API服务器（后端服务）和Web前端（用户界面），无需单独部署组件。
• 简化部署：通过单一镜像即可启动完整平台，减少多组件配置复杂度。
• 兼容性：兼容Dependency-Track的核心数据模型，支持SBOM格式（SPDX、CycloneDX等）解析。

3. 使用场景和适用范围

3.1 适用场景

• 开发团队本地测试：快速部署Dependency-Track验证组件风险评估流程。
• 遗留系统维护：针对已使用此捆绑镜像的旧部署，进行必要的版本更新或问题排查。
• 小型项目临时评估：无需复杂配置即可启动平台，对软件组件进行快速风险扫描。

3.2 限制说明

• 已弃用：官方不再维护此捆绑镜像，功能更新和安全修复仅针对分离部署的apiserver和frontend镜像。
• 资源限制：单一镜像整合双组件，可能存在资源竞争问题，不适合高并发或大规模部署。
• 扩展性不足：无法独立扩展API服务或前端资源，难以满足动态负载需求。

4. 使用方法和配置说明

4.1 前提条件

• Docker Engine 19.03+或Docker Desktop环境。
• 生产环境需配套PostgreSQL数据库（推荐13+版本）；测试环境可使用内置H2数据库（非持久化，仅用于验证）。

4.2 快速启动（测试环境）

4.2.1 Docker Run命令

docker run -d \
  --name dependency-track-bundled \
  -p 8080:8080 \  # API服务器端口
  -p 80:80 \      # Web前端端口
  -v ./dt-data:/data \  # 持久化数据目录（API服务器数据）
  -e ALPINE_DATABASE_MODE=h2 \  # 使用H2测试数据库（生产环境需改为postgresql）
  dependencytrack/bundled:latest

4.2.2 访问方式

• Web前端：通过http://<主机IP>:80访问（默认用户名admin，密码admin，首次登录需修改）。
• API端点：通过http://<主机IP>:8080/api访问（需通过API密钥认证）。

4.3 生产环境配置（不推荐，仅维护旧部署用）

4.3.1 环境变量配置

4.3.2 Docker Compose示例（仅用于遗留部署）

version: '3.8'
services:
  dependency-track:
    image: dependencytrack/bundled:latest
    ports:
      - "8080:8080"
      - "80:80"
    volumes:
      - dtrack-data:/data
    environment:
      - ALPINE_DATABASE_MODE=postgresql
      - ALPINE_DATABASE_URL=jdbc:postgresql://postgres:5432/dtrack
      - ALPINE_DATABASE_USER=dtrack
      - ALPINE_DATABASE_PASS=secure-password
    depends_on:
      - postgres

  postgres:
    image: postgres:14-alpine
    volumes:
      - postgres-data:/var/lib/postgresql/data
    environment:
      - POSTGRES_DB=dtrack
      - POSTGRES_USER=dtrack
      - POSTGRES_PASSWORD=secure-password

volumes:
  dtrack-data:
  postgres-data:

4.4 数据持久化

• API服务器数据（如SBOM存储、配置文件等）需通过挂载/data目录持久化，避免容器重启后数据丢失。
• 生产环境中，数据库数据需独立持久化（如上述postgres-data卷）。

5. 弃用说明与迁移建议

5.1 弃用原因

官方为提升扩展性和稳定性，将API服务器与前端分离为独立镜像，支持单独扩缩容、版本控制和故障隔离。

5.2 迁移方案

新部署或迁移建议使用分离镜像：

1. 部署dependencytrack/apiserver（API服务器）；
2. 部署dependencytrack/frontend（Web前端），并配置前端指向API服务器地址；
3. 详细迁移步骤参见官方分离部署文档。