English
devexamples
← 中文资源

简体中文版本

用 OSV-Scanner 扫描依赖漏洞

用 OSV-Scanner 扫描锁文件与容器镜像中的已知漏洞，并只对可操作的高危发现使 CI 失败。

阅读英文原文

目标

存在漏洞的传递依赖在无人扫描的情况下发布上线。本配方在 CI 中用 OSV-Scanner 扫描锁文件与构建镜像，输出漏洞包、公告 id 与修复版本，并按严重程度只对高危发现设门禁，同时提醒漏洞库存在滞后、需确认可达性避免误报。

步骤要点

  1. 用 OSV-Scanner 扫描锁文件与 SBOM。
  2. 按严重程度只对高危发现设门禁。
  3. 对低危发现分派负责人跟踪。
  4. 确认漏洞可达性以避免误报。
osv-scanner --lockfile=package-lock.json
osv-scanner --sbom=sbom.spdx.json

排错提示

  • 漏洞库落后于披露，存在盲区。
  • 不判断在当前上下文中的可利用性。
  • 锁文件必须完整且已提交。

适用边界

  • 不评估实际可利用性。
  • 依赖漏洞库的时效。