如何在org.owasp dependency-check-maven中排除JS库检查？

我们使用OWASP Dependency-Check Maven插件监控Java依赖的安全问题，当前配置如下：

<plugin>
    <groupId>org.owasp</groupId>
    <artifactId>dependency-check-maven</artifactId>
    <configuration>
        <suppressionFiles>
            <suppressionFile>${project.basedir}/owasp-suppressions.xml</suppressionFile>
        </suppressionFiles>
    </configuration>
</plugin>

目前我们仅需监控Java库的安全问题，JS库的安全检测由其他团队通过独立流程负责。但每次插件检测到JS库的安全问题时，Java库的监控任务都会报错终止。请问是否可以完全排除JS库的检查？

当然可以，你可以通过修改插件配置完全排除JS库的安全检查，以下是两种实用的实现方式：

方式一：排除JavaScript类型的依赖 #

在插件的<configuration>节点中添加<excludeTypes>参数，指定跳过JavaScript类型的依赖扫描：

<plugin>
    <groupId>org.owasp</groupId>
    <artifactId>dependency-check-maven</artifactId>
    <configuration>
        <suppressionFiles>
            <suppressionFile>${project.basedir}/owasp-suppressions.xml</suppressionFile>
        </suppressionFiles>
        <!-- 跳过所有JavaScript类型依赖的安全检查 -->
        <excludeTypes>javascript</excludeTypes>
    </configuration>
</plugin>

方式二：禁用NPM分析器 #

如果你的JS依赖主要通过NPM管理，可以直接禁用插件的NPM分析器，彻底停止对前端JS包的扫描：

<plugin>
    <groupId>org.owasp</groupId>
    <artifactId>dependency-check-maven</artifactId>
    <configuration>
        <suppressionFiles>
            <suppressionFile>${project.basedir}/owasp-suppressions.xml</suppressionFile>
        </suppressionFiles>
        <!-- 禁用NPM分析器，不再扫描JS依赖 -->
        <analyzers>
            <npmEnabled>false</npmEnabled>
        </analyzers>
    </configuration>
</plugin>

两种方式都能有效阻止插件检测JS库的安全问题，避免其干扰Java库的监控任务。你可以根据项目实际情况选择：如果只是少量零散的JS依赖，用excludeTypes更灵活；如果项目包含大量NPM管理的前端包，禁用NPM分析器的效率更高。

内容的提问来源于stack exchange，提问作者Nathan