如何移除pom中OWASP插件并通过Maven命令行调用，适配离线Dev环境？

核心结论：命令行调用方案完全支持 #

你可以直接移除pom.xml中的OWASP插件配置，改用Maven命令行调用该插件，完全满足仅在开发环境执行的需求。具体操作要点：

• 基础调用命令：mvn org.owasp:dependency-check-maven:check，如果需要指定插件版本，可添加版本号：mvn org.owasp:dependency-check-maven:<你的插件版本>:check
• 离线环境适配：
  • 提前将OWASP插件本身及其所有依赖同步到内部M2仓库，确保命令执行时能正常拉取依赖
  • 漏洞数据库需提前通过离线包同步到内部环境，执行命令时可指定本地数据库路径：mvn org.owasp:dependency-check-maven:check -Ddc.dataDirectory=<本地漏洞库存储路径>，避免触发联网更新

更易管控的替代方案 #

如果纯命令行调用不利于团队统一执行标准，可考虑以下方案：

1. Maven Profile 管控 #

在pom.xml中定义仅在开发环境激活的Profile，将OWASP插件配置放在该Profile内：

<profiles>
    <profile>
        <id>dev</id>
        <activation>
            <property>
                <name>env</name>
                <value>dev</value>
            </property>
        </activation>
        <build>
            <plugins>
                <plugin>
                    <groupId>org.owasp</groupId>
                    <artifactId>dependency-check-maven</artifactId>
                    <version>你的版本号</version>
                    <executions>
                        <execution>
                            <goals>
                                <goal>check</goal>
                            </goals>
                        </execution>
                    </executions>
                    <configuration>
                        <!-- 离线环境配置，比如指定本地漏洞库路径 -->
                        <dataDirectory>${project.basedir}/dc-data</dataDirectory>
                        <updateOnly>false</updateOnly>
                    </configuration>
                </plugin>
            </plugins>
        </build>
    </profile>
</profiles>

• 开发环境执行时激活Profile：mvn verify -Pdev 或 mvn verify -Denv=dev
• UAT/PROD环境不激活该Profile，插件就不会执行

2. CI/CD 流水线管控 #

在开发环境的CI/CD流程中单独添加OWASP命令行调用步骤，UAT和PROD流水线直接跳过该步骤。这种方式能从流程层面强制控制执行范围，避免人为误操作。

离线环境关键注意事项 #

• 漏洞库更新：定期从官方下载离线更新包，同步到内部环境的指定路径，确保扫描数据是最新的
• 插件依赖维护：内部M2仓库需保持OWASP插件及其依赖的版本与之前pom配置的一致，避免版本不一致导致扫描结果差异

内容的提问来源于stack exchange，提问作者Julie