owasp/dependency-check

Dependency-Check

Dependency-Check 是一款软件成分分析工具，用于检测项目依赖中包含的公开披露漏洞。它通过确定给定依赖项是否存在通用平台枚举（CPE）标识符来实现此目的。如果找到，它将生成链接到相关CVE条目的报告。

文档和生产二进制发布版的链接可在http://jeremylong.github.io/DependencyCheck/%E4%B8%8A%E6%89%BE%E5%88%B0%E3%80%82

Docker 使用方法

以下示例假设要检查的源代码位于当前工作目录中。使用持久化数据和报告目录，允许您在运行后销毁容器。

bash
#!/bin/sh

DC_VERSION="latest"
DC_DIRECTORY=$HOME/OWASP-Dependency-Check
DC_PROJECT="dependency-check 扫描: $(pwd)"
DATA_DIRECTORY="$DC_DIRECTORY/data"
CACHE_DIRECTORY="$DC_DIRECTORY/data/cache"

if [ ! -d "$DATA_DIRECTORY" ]; then
    echo "初始创建持久化目录: $DATA_DIRECTORY"
    mkdir -p "$DATA_DIRECTORY"
fi
if [ ! -d "$CACHE_DIRECTORY" ]; then
    echo "初始创建持久化目录: $CACHE_DIRECTORY"
    mkdir -p "$CACHE_DIRECTORY"
fi

# 确保使用最新版本
docker pull owasp/dependency-check:$DC_VERSION

docker run --rm \
    -e user=$USER \
    -u $(id -u ${USER}):$(id -g ${USER}) \
    --volume $(pwd):/src:z \
    --volume "$DATA_DIRECTORY":/usr/share/dependency-check/data:z \
    --volume $(pwd)/odc-reports:/report:z \
    owasp/dependency-check:$DC_VERSION \
    --scan /src \
    --format "ALL" \
    --project "$DC_PROJECT" \
    --out /report
    # 这样使用抑制文件: (其中 /src == $pwd)
    # --suppression "/src/security/dependency-check-suppression.xml"

修改和重新分发的权限根据Apache 2.0许可证的条款授予。完整许可证参见https://raw.githubusercontent.com/jeremylong/DependencyCheck/master/LICENSE.txt%E6%96%87%E4%BB%B6%E3%80%82

Dependency-Check 使用了多个其他开源库。有关更多信息，请参见https://github.com/jeremylong/DependencyCheck/blob/master/NOTICE.txt%E6%96%87%E4%BB%B6%E3%80%82