Dependency-Track漏洞抑制规则丢失求助：Maven集成场景排查

我通过以下命令将Dependency-Track集成至构建流水线：

mvn cyclonedx:makeAggregateBom dependency-track:upload-bom

我的Maven项目配置如下：

<plugin>
    <groupId>io.github.pmckeown</groupId>
    <artifactId>dependency-track-maven-plugin</artifactId>
    <version>1.5.0</version>
    <configuration>
        <dependencyTrackBaseUrl>https://dependency-track.<my-company.com></dependencyTrackBaseUrl>
        <apiKey>${env.DEPENDENCY_TRACK_API_KEY}</apiKey>
        <failOnError>true</failOnError>
        <pollingConfig>
            <pause>2</pause>
            <attempts>30</attempts>
        </pollingConfig>
    </configuration>
</plugin>

当前集成可正常运行，我能在Dependency-Track中获取分析结果。但我在Dependency-Track中抑制了部分不影响项目的漏洞后，一段时间后（并非立即），部分抑制规则失效，漏洞再次显示，尤其在spring-security-web:5.7.8依赖上频繁出现此问题。请问是我的调用方式有误，还是Dependency-Track配置存在问题？

一、调用方式层面排查 #

你的Maven命令和插件配置本身无明显错误：

• cyclonedx:makeAggregateBom生成聚合BOM的逻辑正常，能正确收集项目依赖
• dependency-track:upload-bom的配置符合插件要求，API密钥、地址及轮询参数均合理

但需确认：每次构建上传BOM时，是否覆盖了现有项目的依赖数据？若上传时生成了新的项目版本而非更新现有版本，之前的抑制规则是绑定旧版本的，新版本的依赖漏洞就会重新显示。可检查Dependency-Track中是否存在多个相同项目的版本条目。

二、Dependency-Track抑制规则配置问题 #

这是更可能的核心原因，尤其针对spring-security-web:5.7.8这类依赖：

1. 抑制规则范围是否精准
   • 检查规则是否绑定了特定CVE和依赖版本。若规则仅针对整个依赖（未指定版本），后续Dependency-Track更新该依赖的漏洞数据时，会触发新的漏洞条目；若规则仅绑定特定CVE，该依赖被检测出其他同类型新漏洞时，也会重新显示。
   • 确认规则的生效范围：是针对单个项目、所有项目还是特定版本？若仅绑定单个版本，而构建上传时创建了新版本，规则将无法生效。
2. 漏洞库数据更新影响
   • Dependency-Track会定期同步NVD等漏洞库数据。若spring-security-web:5.7.8被新增漏洞条目，或原有漏洞的评级、状态被更新，之前的抑制规则可能未覆盖这些新记录。
   • 检查规则是否设置了到期时间：若为临时抑制（设置了过期时间），到期后漏洞会重新显示。
3. 依赖识别匹配问题
   • 部分场景下，Dependency-Track对依赖的识别可能存在微小差异（比如groupId/artifactId大小写、BOM中传递依赖的表述方式），导致抑制规则无法匹配新上传的依赖实例。需对比抑制规则中依赖的坐标与BOM中实际坐标是否完全一致。

三、其他排查点 #

• 升级插件版本：当前使用的dependency-track-maven-plugin1.5.0版本较旧（最新已更新至2.x系列），旧版本可能存在BOM上传时元数据丢失的问题，导致依赖匹配异常，建议升级后测试。
• 查看系统日志：漏洞重新出现时，检查Dependency-Track服务器日志，是否存在规则匹配失败的报错或依赖数据更新记录。

内容的提问来源于stack exchange，提问作者Datz