OWASP Dependency-Check是否会扫描Maven构建插件？

默认情况下，OWASP Dependency-Check的Maven插件不会扫描用于构建项目的Maven插件。它的默认扫描范围只包含项目<dependencies>节点下的业务/运行依赖，而Maven构建插件（比如你提到的Checkstyle插件）属于<build><plugins>节点，不在默认检测范围内。

如果需要扫描构建插件的漏洞，你可以在Dependency-Check的插件配置中开启专门的扫描开关，示例配置如下：

<plugin>
    <groupId>org.owasp</groupId>
    <artifactId>dependency-check-maven</artifactId>
    <version>最新稳定版</version>
    <configuration>
        <!-- 开启构建插件扫描 -->
        <scanPlugins>true</scanPlugins>
    </configuration>
    <executions>
        <execution>
            <goals>
                <goal>check</goal>
            </goals>
        </execution>
    </executions>
</plugin>

开启这个配置后，如果你的Checkstyle插件存在已公开的CVE漏洞，Dependency-Check就能检测到并生成对应的漏洞报告。

你提到的供应链安全风险确实值得重视——Maven构建插件在执行时拥有很高的系统权限，一旦被篡改或存在漏洞，确实可能带来严重的安全威胁。启用构建插件扫描可以帮你补上这一环的安全检测。

内容的提问来源于stack exchange，提问作者Lii