俗话说“人怕出名猪怕壮”，当系统小有名气以后就会被一些黑客盯上，三天两头的用各种漏洞扫描工具做渗透，如果不希望某天你负责的系统因为安全问题而出名，那就提前行动起来吧，这就是今天要讲的OWASP Dependency-Check。
图片来源于百度
背景
随着业务的发展，系统的用户逐渐增多，这时就会有一些不速之客找上门来。
俗话说“人怕出名猪怕壮”，当系统小有名气以后就会被一些黑客盯上，三天两头的用各种漏洞扫描工具做渗透，如果不希望某天你负责的系统因为安全问题而出名，那就提前行动起来吧，这就是今天要讲的OWASP Dependency-Check。
何为OWASP Dependency-Check
依赖项检查是一种软件组成分析（SCA）工具，它试图检测项目依赖项中包含的公开披露的漏洞。它通过确定给定依赖项是否存在通用平台枚举（CPE）标识符来完成此操作。如果找到，它将生成一个报告，链接到相关的CVE条目。
翻译成大白话就是借助扫描工具和一些公开的漏洞库提前告知开发者潜在的风险，比如你项目中依赖了Struts 2.0.0，那这个工具会告诉你Struts2.0.0相关的jar包存在风险，如果你不为所动那只能等老板约你喝茶了。
具体介绍请参阅：https://owasp.org/www-project-dependency-check/
开始之前
通过官方的介绍，目前提供了四种扫描方式，分别是Jenkins集成，命令行工具，Maven插件，Ant task，有兴趣的去https://github.com/jeremylong/DependencyCheck了解，这里不再多说。
我自己使用的是Maven插件这种方式，后面内容会以这种方式来展开。
开始扫描Maven方式扫描很简单，只需要两步即可。
1.在pom.xml增加dependency-check-maven插件的配置，如下：
<project> <build> <plugins> <plugin> <groupId>org.owasp</groupId> <artifactId>dependency-check-maven</artifactId> <version>6.1.0</version> <executions> <execution> <goals> <goal>check</goal> </goals> </execution> </executions> </plugin> </plugins> </build> </project>