如何使用OWASP Dependency Check扫描项目所有在用版本的依赖漏洞？

常规的OWASP Dependency Check Maven插件只能搞定当前构建版本的依赖漏洞扫描，但要覆盖所有仍在使用的旧版本，得跳出构建环节，用以下几种方式实现：

一、批量扫描Maven仓库制品的可行方案 #

• 用OWASP Dependency Check的CLI版本，它支持直接扫描本地或远程Maven仓库里的Jar/War制品：
  • 基础命令示例：

    dependency-check.sh --scan /path/to/local/repo --format HTML --output ./reports
    

    如果是远程仓库，先把需要扫描的制品同步到本地（比如用rsync或者Maven的dependency:copy批量拉取），再用CLI扫描就行。
• 要是用私有Maven仓库（比如Nexus、Artifactory），可以调用仓库的REST API批量导出所有在用版本的制品列表，逐个下载到临时目录后，再用CLI批量扫描。

二、周期性执行的配置 #

• 把扫描脚本集成到定时任务里：
  • Linux系统用cron，比如每天凌晨2点自动扫描：

    0 2 * * * /path/to/dependency-check.sh --scan /repo/path --output /report/path
    

  • Windows系统用任务计划程序，设置定时触发扫描脚本。
• 还可以写脚本实现增量扫描：只扫最近更新的制品，或者按版本标签筛选仍在维护的版本，能省不少扫描时间。

三、Git版本遍历扫描方案 #

如果项目用Git管理所有版本，能写脚本遍历所有在用的Git标签/分支，切换到对应版本后执行Maven插件扫描：

for tag in $(git tag | grep "v[0-9]\+\.[0-9]\+"); do
  git checkout $tag
  mvn org.owasp:dependency-check-maven:check
done

这种方式适合版本数量不多、仓库不大的项目，能精准对应每个版本的依赖情况。

扫描完成后，记得把报告汇总归档，重点盯高风险漏洞的版本，及时通知维护人员跟进。

内容的提问来源于stack exchange，提问作者Lii