owasp/dependency-check-action

OWASP Dependency-Check Docker镜像（NVD数据库每日更新版）

镜像概述

OWASP Dependency-Check是一款用于识别项目依赖项中已知安全漏洞的工具。本Docker镜像基于官方Dependency-Check构建，并配置为每日夜间自动更新NVD（美国国家漏洞数据库）数据库，确保扫描时使用最新的漏洞数据，提升安全检测的准确性和时效性。

核心特性

• 每日NVD数据库更新：镜像启动前自动完成NVD数据库的夜间更新，无需手动执行--update命令。
• 与官方工具同步：基于最新版OWASP Dependency-Check构建，支持其全部核心功能（如多语言依赖扫描、多种报告格式输出等）。
• 轻量级设计：优化镜像体积，减少资源占用，适合在资源受限的环境中运行。
• 易于集成：提供标准化Docker接口，可无缝集成到Jenkins、GitHub Actions、GitLab CI等主流CI/CD管道中。

适用场景

• CI/CD流程集成：在代码构建或部署前自动扫描依赖项，阻止含高危漏洞的版本进入生产环境。
• 定期安全审计：通过定时任务运行镜像，对现有项目依赖进行周期性漏洞扫描，及时发现新披露的安全风险。
• 开发环境辅助：开发者本地开发时快速扫描项目依赖，在开发早期识别并修复安全问题。

部署与使用示例

基本扫描命令

以下命令示例展示如何使用本镜像扫描当前目录下的项目依赖，并生成HTML格式报告：

bash
docker run --rm \
  -v $(pwd):/scan-target \
  owasp/dependency-check:nightly \
  --scan /scan-target \
  --format HTML \
  --out /scan-target/reports

参数说明

• -v $(pwd):/scan-target：将本地项目目录挂载到容器内/scan-target路径，使镜像可访问待扫描文件。
• --scan /scan-target：指定容器内待扫描的目录路径。
• --format HTML：设置报告格式为HTML（支持HTML、XML、JSON等格式）。
• --out /scan-target/reports：指定报告输出目录，挂载到本地后可在宿主机查看报告文件。

注意事项

• 首次运行时，数据库更新可能需要几分钟（取决于网络速度）；后续运行将使用缓存数据，加快启动速度。
• 建议在CI/CD配置中固定镜像标签，避免因版本更新导致的兼容性问题。