使用dependency-check-maven 10.0.4时NVD API Key无效问题求助

从错误日志Invalid API Key: aa23a----64772可以看出，实际发送给NVD的API Key是不完整的，中间字段被替换为空，这是核心问题，以下是可能的原因和对应解决办法：

1. Maven XML配置的插值替换问题 #

你的API Key中包含xxxx片段，Maven会默认尝试将其识别为Maven属性进行插值替换，如果项目或settings.xml中没有定义对应的xxxx属性，就会被替换为空字符串，导致Key变成不合法的格式。

解决办法：

• 使用CDATA包裹API Key，避免Maven解析其中的特殊字符或属性占位符：

  <configuration>
     <nvdApiKey><![CDATA[你的完整API Key]]></nvdApiKey>
     <!-- 其他配置项保持不变 -->
  </configuration>
  

• 或者将API Key放在Maven的settings.xml属性中，再在pom.xml引用：
  在settings.xml中添加：

  <properties>
      <nvd.api.key>你的完整API Key</nvd.api.key>
  </properties>
  

  然后pom.xml中修改为：

  <nvdApiKey>${nvd.api.key}</nvdApiKey>
  

2. API Key输入错误 #

检查你复制的API Key是否完整：

• NVD的API Key是标准UUID格式（8-4-4-4-12字符，共36位），确保没有遗漏字符、多打空格或换行符。
• 直接从NVD发送的邮件中复制完整Key，不要手动输入或修改任何字符。

3. Maven缓存导致配置未生效 #

Maven可能缓存了旧的插件配置，导致新的API Key没有被读取：

• 执行mvn clean dependency-check:check -U，强制更新依赖并清理缓存后重新运行。
• 必要时删除本地Maven仓库中插件的缓存目录：~/.m2/repository/org/owasp/dependency-check-maven，然后重新执行命令。

4. 插件版本兼容性（可选尝试） #

虽然10.0.4是稳定版，但可以尝试升级到最新的dependency-check-maven稳定版本，确认是否存在版本与NVD API的兼容性问题：

<version>11.0.3</version> <!-- 替换为最新稳定版 -->

内容的提问来源于stack exchange，提问作者Alessandro Carnevali