Black Duck扫描标记不存在的jQuery 2.0.0库问题咨询

1. 将该漏洞标记为「误报」是否合理？ #

合理，但需要先完成以下验证确保万无一失：

• 检查项目打包后的输出文件（比如发布后的bin目录或前端资源目录），确认没有jquery-2.0.0.js/jquery-2.0.0.min.js这类文件；
• 确认项目运行时实际加载的是jQuery 3.6.1（可通过浏览器开发者工具的「网络」面板查看加载的资源版本）；
• 检查项目的packages.config或PackageReference配置，确认没有直接或间接引入jQuery 2.0.0的条目。

如果以上验证都确认项目未使用jQuery 2.0.0，完全可以标记为误报——因为Black Duck提示的风险并未实际存在于你的运行环境中。

2. Black Duck为何会标记该依赖？ #

主要是因为静态扫描工具的依赖解析逻辑和实际项目的依赖安装逻辑存在差异：

• NuSpec依赖声明的误导：Microsoft jQuery Unobtrusive Validation 4.0.0的NuSpec文件中，可能声明了对jQuery 2.0.0的依赖（哪怕是「可选依赖」）。Black Duck静态解析依赖声明时，不会区分“仅在无jQuery时才安装”这种条件逻辑，只会把声明的依赖纳入扫描范围；
• 动态链接的判定逻辑：Black Duck标记的「Dynamically Linked」是基于依赖声明的静态判定，而非运行时的实际加载行为。它无法识别项目中已经手动升级了jQuery，会默认认为依赖声明中的版本会被加载；
• 缓存或配置文件的残留：如果项目的NuGet缓存、packages.lock.json或packages.config中保留了该依赖的声明痕迹，Black Duck扫描时会读取这些文件并判定依赖存在，哪怕实际项目并未安装或使用该版本。

内容的提问来源于stack exchange，提问作者sam sergiy klok