Java项目代码依赖包安全漏洞检测插件Dependency Check

142 阅读 0 评论 94 点赞

我是靠谱客的博主复杂芝麻，这篇文章主要介绍Java项目代码依赖包安全漏洞检测插件Dependency Check，现在分享给大家，希望可以做个参考。

最近在搞Java的后端项目，需要更新jar依赖包，找到了一个jar包漏洞检测的插件Dependency Check。

Dependency-Check是OWASP(Open WebApplication Security Project)的一个实用开源程序，用于识别项目依赖项并检查是否存在任何已知的，公开披露的漏洞。目前，已支持Java、.NET、Ruby、Node.js、Python等语言编写的程序，并为C/C++构建系统(autoconf和cmake)提供了有限的支持。官网地址：OWASP Dependency-Check Project | OWASP

用下来感觉不错，可以看到整个项目依赖包存在的漏洞，然后在根据建议修改。

我的后端Java项目是用Maven构建的，所以在pom.xml文件中添加依赖，Maven仓库地址

https://mvnrepository.com/artifact/org.owasp/dependency-check-maven

复制代码

1
2
3
4
5
6
7
8
<!--        代码依赖包安全漏洞检测-->
<!-- https://mvnrepository.com/artifact/org.owasp/dependency-check-maven -->
<dependency>
    <groupId>org.owasp</groupId>
    <artifactId>dependency-check-maven</artifactId>
    <version>6.5.2</version>
</dependency>

接着在<plugins></plugins>下添加检查配置

复制代码

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
 <!--        代码依赖包安全漏洞检测-->
            <plugin>
                <groupId>org.owasp</groupId>
                <artifactId>dependency-check-maven</artifactId>
                <configuration>
                    <autoUpdate>true</autoUpdate>
                </configuration>
                <executions>
                    <execution>
                        <goals>
                            <goal>check</goal>
                        </goals>
                    </execution>
                </executions>
            </plugin>