Dependency-Check

Dependency-Check 是一个软件组成分析（SCA）工具，旨在检测项目依赖中的公开漏洞。它通过确定给定依赖是否存在通用平台枚举（CPE）标识符来实现这一目标。如果找到，它将生成一个报告，链接到相关的 CVE 条目。

文档和生产二进制版本的链接可以在 github 页面 上找到。此外，有关架构和扩展 dependency-check 的方法的更多信息可以在 wiki 上找到。

注意

本产品使用 NVD API，但未经 NVD 认可或认证。

强制升级通知

升级到 10.0.2 或更高版本是强制性的

旧版本的 dependency-check 正在导致大量重复请求，这些请求最终导致处理失败，给 NVD API 造成不必要的负担。Dependency-check 10.0.2 使用了更新的 User-Agent 标头，这将允许 NVD 阻止来自旧客户端的调用。

强烈建议使用 NVD API 密钥

Dependency-check 已从使用 NVD 数据源转移到使用 NVD API。 强烈建议 dependency-check 的用户获取 NVD API 密钥；请参阅 https://nvd.nist.gov/developers/request-an-api-key 没有 NVD API 密钥，dependency-check 的更新将极其缓慢。 请查看 cli、maven、gradle 或 ant 集成的文档，了解如何设置 NVD API 密钥。

NVD API 密钥、CI 和速率限制

NVD API 实施了速率限制。如果您使用单个 API 密钥并且发生多次构建，可能会达到速率限制并收到 403 错误。在 CI 环境中，必须使用缓存策略。

重大变更

9.0.0 包含需要更新数据库的重大变更。如果使用外部托管的数据库，需要更新模式。使用嵌入式 H2 数据库时，模式应该会自动升级。但是，如果出现问题，您可能需要清除数据库：

• gradle: ./gradlew dependencyCheckPurge
• maven: mvn org.owasp:dependency-check-maven:9.0.0:purge
• cli: dependency-check.sh --purge

Gradle 构建环境

在 9.0.0 中，用户可能会遇到由于依赖解析导致的 NoSuchMethodError 异常问题。如果遇到此问题，您需要将 dependency-check 的一些传递依赖固定到特定版本。例如：

/buildSrc/build.gradle

dependencies {
    constraints {
        // org.owasp.dependencycheck 至少需要这个版本的 jackson。其他插件引入了旧版本。
        add("implementation", "com.fasterxml.jackson:jackson-bom:2.16.1")

        // org.owasp.dependencycheck 需要这些版本。其他插件引入了旧版本。
        add("implementation", "org.apache.commons:commons-lang3:3.14.0")
        add("implementation", "org.apache.commons:commons-text:1.11.0")
    }
}

要求

Java 版本

最低 Java 版本：Java 8 更新 251

虽然 dependency-check 9.0.0 及更高版本仍可在 Java 8 上运行 - 但更新版本必须高于 251。

互联网访问

OWASP dependency-check 需要访问多个外部托管资源。 有关更多信息，请参阅 需要互联网访问。

构建工具

为了分析某些技术栈，dependency-check 可能需要安装其他开发工具。下面列出的一些分析可能是实验性的，需要启用实验性分析器。

1. 要分析 .NET 程序集，必须安装 dotnet 8 运行时或 SDK。
   • 可以分析针对其他运行时的程序集 - 但需要 8 来运行分析。
2. 如果分析 GoLang 项目，必须安装 go。
3. 分析 Elixir 项目需要 mix_audit。
4. 分析 npm、pnpm 和 yarn 项目需要安装 npm、pnpm 或 yarn。
   • 执行的分析利用了各自的 audit 功能。
5. Ruby 的分析是对 bundle-audit 的封装，必须安装它。

当前版本

Jenkins 插件

有关 Jenkins 插件使用的说明，请参阅 OWASP Dependency-Check 插件页面。

命令行

更详细的说明可以在 dependency-check github 页面 上找到。 最新的 CLI 可以从 github 的 releases 部分 下载。

下载最新版本：

$ VERSION=$(curl -s https://jeremylong.github.io/DependencyCheck/current.txt)
$ curl -Ls "https://github.com/jeremylong/DependencyCheck/releases/download/v$VERSION/dependency-check-$VERSION-release.zip" --output dependency-check.zip

在 *nix 上

$ ./bin/dependency-check.sh -h
$ ./bin/dependency-check.sh --out . --scan [要扫描的 jar 文件路径]

在 Windows 上

> .\bin\dependency-check.bat -h
> .\bin\dependency-check.bat --out . --scan [要扫描的 jar 文件路径]

在使用 Homebrew 的 Mac 上 注意 - 从 5.x 升级到 6.0.0 的 homebrew 用户需要运行 dependency-check.sh --purge。

$ brew update && brew install dependency-check
$ dependency-check -h
$ dependency-check --out . --scan [要扫描的 jar 文件路径]

Maven 插件

更详细的说明可以在 dependency-check-maven github 页面 上找到。 默认情况下，该插件绑定到 verify 阶段（即 mvn verify）。或者， 可以直接通过 mvn org.owasp:dependency-check-maven:check 调用插件。

dependency-check 插件可以使用以下配置：

<project>
    <build>
        <plugins>
            ...
            <plugin>
              <groupId>org.owasp</groupId>
              <artifactId>dependency-check-maven</artifactId>
              <executions>
                  <execution>
                      <goals>
                          <goal>check</goal>
                      </goals>
                  </execution>
              </executions>
            </plugin>
            ...
        </plugins>
        ...
    </build>
    ...
</project>

Gradle 插件

有关 Gradle 插件使用的说明，请参阅 dependency-check-gradle github 页面。

Ant 任务

有关 Ant 任务使用的说明，请参阅 dependency-check-ant github 页面。

开发先决条件

要成功安装，您必须安装以下组件：

• Java：java -version 1.8
• Maven：mvn -version 3.5.0 及更高版本

测试用例需要：

• dotnet core 版本 8.0
• Go：go version 1.12 及更高版本
• Ruby bundler-audit
• Yarn
• pnpm

开发使用

以下说明概述了如何编译和使用当前快照。虽然我们尽力保持稳定的快照，但建议使用上面列出的发布版本。

由于测试资源，该存储库有一些大文件。团队已尽力清理历史记录。 但是，建议您执行浅克隆以节省时间：

git clone --depth 1 https://github.com/jeremylong/DependencyCheck.git

在 *nix 上

$ mvn -s settings.xml install
$ ./cli/target/release/bin/dependency-check.sh -h
$ ./cli/target/release/bin/dependency-check.sh --out . --scan ./src/test/resources

在 Windows 上

> mvn -s settings.xml install
> .\cli\target\release\bin\dependency-check.bat -h
> .\cli\target\release\bin\dependency-check.bat --out . --scan ./src/test/resources

然后将生成的 'dependency-check-report.html' 加载到您喜欢的浏览器中。

不运行测试的构建

为了加快周转周期，您也可以在不每次运行测试的情况下编译： mvn -s settings.xml install -DskipTests=true

请记住在开启 PR 之前至少运行一次测试。:)

IntelliJ Idea

要能够在 IntelliJ Idea 中调试测试，您可以引入一个 maven 配置，该配置执行您的测试并启用调试（包括断点等）。 基本上，您按照 https://www.jetbrains.com/help/idea/work-with-tests-in-maven.html#run_single_test 中描述的操作，并将 forkCount 设置为 0，否则调试将无法工作。 步骤说明：

• 运行 -> 编辑配置
• • (添加新配置) -> Maven
• 为配置命名，例如"运行测试"
• 选择工作目录，例如"core"
• 在"命令行"中输入 "-DforkCount=0 -f pom.xml -s ../settings.xml test"
• 点击"确定"
• 运行 -> 调试，然后选择新创建的运行配置

IntelliJ 现在将为"core"子项目执行测试运行，并启用调试。代码中设置的断点应该可以正常工作。

仅测试一个函数或一个类

如果你想加快周转周期，也可以只测试一个函数或一个测试类。 这可以通过在运行配置中添加"-Dtest=MyTestClass"或"-Dtest=MyTestClass#myTestFunction"来实现。运行配置中的完整命令行如下：

"-Dtest=MyTestClass#myTestFunction -DforkCount=0 -f pom.xml -s ../settings.xml test"

Docker

在以下示例中，假设要检查的源代码位于当前工作目录，报告将写入"$(pwd)/odc-reports"。使用持久化数据和缓存目录，允许你在运行后销毁容器。

Linux版：

#!/bin/sh

DC_VERSION="latest"
DC_DIRECTORY=$HOME/OWASP-Dependency-Check
DC_PROJECT="dependency-check scan: $(pwd)"
DATA_DIRECTORY="$DC_DIRECTORY/data"
CACHE_DIRECTORY="$DC_DIRECTORY/data/cache"

if [ ! -d "$DATA_DIRECTORY" ]; then
    echo "初次创建持久化目录：$DATA_DIRECTORY"
    mkdir -p "$DATA_DIRECTORY"
fi
if [ ! -d "$CACHE_DIRECTORY" ]; then
    echo "初次创建持久化目录：$CACHE_DIRECTORY"
    mkdir -p "$CACHE_DIRECTORY"
fi

# 确保使用最新版本
docker pull owasp/dependency-check:$DC_VERSION

docker run --rm \
    -e user=$USER \
    -u $(id -u ${USER}):$(id -g ${USER}) \
    --volume $(pwd):/src:z \
    --volume "$DATA_DIRECTORY":/usr/share/dependency-check/data:z \
    --volume $(pwd)/odc-reports:/report:z \
    owasp/dependency-check:$DC_VERSION \
    --scan /src \
    --format "ALL" \
    --project "$DC_PROJECT" \
    --out /report
    # 使用抑制示例：(其中 /src == $pwd)
    # --suppression "/src/security/dependency-check-suppression.xml"

Windows版：

@echo off

set DC_VERSION="latest"
set DC_DIRECTORY=%USERPROFILE%\OWASP-Dependency-Check
SET DC_PROJECT="dependency-check scan: %CD%"
set DATA_DIRECTORY="%DC_DIRECTORY%\data"
set CACHE_DIRECTORY="%DC_DIRECTORY%\data\cache"

IF NOT EXIST %DATA_DIRECTORY% (
    echo 初次创建持久化目录：%DATA_DIRECTORY%
    mkdir %DATA_DIRECTORY%
)
IF NOT EXIST %CACHE_DIRECTORY% (
    echo 初次创建持久化目录：%CACHE_DIRECTORY%
    mkdir %CACHE_DIRECTORY%
)

rem 确保使用最新版本
docker pull owasp/dependency-check:%DC_VERSION%

docker run --rm ^
    --volume %CD%:/src ^
    --volume %DATA_DIRECTORY%:/usr/share/dependency-check/data ^
    --volume %CD%/odc-reports:/report ^
    owasp/dependency-check:%DC_VERSION% ^
    --scan /src ^
    --format "ALL" ^
    --project "%DC_PROJECT%" ^
    --out /report
    rem 使用抑制示例：(其中 /src == %CD%)
    rem --suppression "/src/security/dependency-check-suppression.xml"

从源代码构建

要构建dependency-check（使用Java 8），请运行以下命令：

mvn -s settings.xml install

对dependency-check运行dependency-check

Dependency-check引用了几个易受攻击的依赖项，这些依赖项除作为测试资源外从未使用过。所有这些可选的测试依赖项都包含在"test-dependencies"配置文件中。要对dependency-check自身运行dependency-check，只需排除"test-dependencies"配置文件：

mvn org.owasp:dependency-check-maven:aggregate -P-test-dependencies -DskipProvidedScope=true

构建文档

github pages上的文档是从此存储库生成的：

mvn -s settings.xml site  site:staging

完成后，将浏览器指向./target/staging/index.html。

构建Docker镜像

要构建dependency-check docker镜像，请运行以下命令：

mvn -s settings.xml install
./build-docker.sh

许可证

根据Apache 2.0许可证的条款，允许修改和重新分发。有关完整许可证，请参阅LICENSE.txt文件。

Dependency-Check使用了几个其他开源库。更多信息请参阅NOTICE.txt文件。

本产品使用NVD API，但未经NVD认可或认证。

版权所有 (c) 2012-2024 Jeremy Long。保留所有权利。