JFrog Xray能否直接扫描不属于Docker镜像的Maven构件？

完全可以，JFrog Xray支持直接扫描未打包进Docker镜像的独立Maven构件，Docker镜像扫描只是Xray覆盖的众多扫描场景之一，绝非能力边界。

你检索到的公开资料大多聚焦Docker镜像扫描场景，本质是内容传播的导向问题：公开教程往往优先围绕“代码提交→构建产物→打包容器→部署上线”的全CI/CD链路做演示，突出容器场景下的全链路风险拦截效果，并不代表Xray的扫描范围被限制在镜像内。实际上对各类包管理器托管的二进制制品做扫描，是Xray从首个正式版本就具备的核心能力，Docker镜像扫描是后续版本叠加的扩展功能。甚至可以说，Xray在容器场景下对Java应用的依赖解析逻辑，本来就是从独立Maven构件的扫描引擎复用过来的，并非为容器场景单独开发。

• 扫描深度和容器内的Java应用扫描完全一致：只要Maven构件（jar/war/ear等打包产物、关联的pom依赖描述文件）被托管在Artifactory的Maven类型仓库下，Xray会直接解析构件内置的pom元数据，递归梳理完整的传递依赖树，匹配对应的CVE漏洞、开源许可合规规则、自定义安全策略，不会因为没有打包进容器就丢失依赖识别能力。
• 扫描触发完全不依赖容器流程：只要给对应Maven仓库绑定了Xray的扫描策略（Watch），无论你是通过mvn deploy推送构建产物、还是手动上传构件到仓库，构件进入仓库的瞬间就会触发自动扫描，全流程不需要经过Docker打包环节。
• 支持CI阶段的本地无仓库扫描：配合JFrog CLI，你可以在本地完成Maven打包后，直接对本地路径下的构件做规则匹配扫描，不需要等构件上传到制品仓库，更不需要预先打Docker镜像。

要保证扫描结果完整无遗漏，待扫描的Maven构件需要附带对应的pom元数据文件，不要只上传孤立的jar包，否则Xray无法完整解析依赖关系树，会导致部分风险漏报。

内容的提问来源于stack exchange，提问作者RenatoIvancic