Maven Dependency-Check安全分析：依赖升级修复问题的量化查询需求

一、对比升级前后解决的安全问题数量 #

要统计Spring Boot升级解决的安全问题数，核心是对比升级前后dependency-check的扫描结果：

1. 升级前扫描：执行命令

   mvn dependency-check:check -Dformat=JSON
   

   生成JSON格式报告（路径target/dependency-check-report.json），也可保留默认HTML报告（target/dependency-check-report.html），记录当前安全问题总数。
2. 升级Spring Boot：修改pom.xml中spring-boot-starter-parent的版本号，执行mvn clean install -U强制更新所有依赖。
3. 升级后扫描：再次执行上述dependency-check命令，生成新报告。
4. 对比结果：
   • HTML报告：直接查看两份报告的「Total Vulnerabilities」数值差，即为升级解决的安全问题数。
   • JSON报告：用文本对比工具（如diff命令）或简单脚本解析两份JSON，统计消失的CVE条目数量。

二、获取每个安全问题的修复版本 #

每个CVE对应的修复版本可从dependency-check报告中直接提取：

• HTML报告：找到对应依赖的安全问题条目，在「Vulnerable Software」板块的「Fixed Versions」字段，会列出修复该漏洞的最低依赖版本。
• JSON报告：在vulnerabilities数组的每个对象中，remediations字段包含该CVE对应的修复版本信息。
• 额外参考：Spring Boot官方发布说明会明确标注该版本修复的依赖安全问题，对应到具体CVE和依赖版本升级。

实用技巧 #

• 多模块项目用mvn dependency-check:aggregate命令，一次性扫描所有模块的依赖，避免重复操作。
• 若要自动化统计，可编写脚本解析JSON报告的漏洞数据，实现版本升级前后的自动对比。

内容的提问来源于stack exchange，提问作者Paul Verest on LinkedIn