登录 注册

DependencyCheck

去点 Star
数据分析与数据处理
7,768
Stars
0
Forks
0
Watchers
0
Open Issues
未知
许可证
Java
语言
创建时间
最近更新

项目能做什么

OWASP 出品的软件成分分析工具，用于检测应用依赖库的已知安全漏洞。
来源：AI 基于仓库事实生成 · 内容以仓库实际 README 为准

使用说明 查看原始 README 原仓库文档

中文使用说明暂未生成。下面保留原仓库 README 摘录，命令与配置均以原文为准。
原始 README 摘录（英文原文，节选前 3000 字符） 
[![Maven Central](https://img.shields.io/maven-central/v/org.owasp/dependency-check-maven.svg)](https://mvnrepository.com/artifact/org.owasp/dependency-check-maven) [![Build and Deploy Snapshot](https://github.com/dependency-check/DependencyCheck/actions/workflows/build.yml/badge.svg)](https://github.com/dependency-check/DependencyCheck/actions/workflows/build.yml) [![CII Best Practices](https://bestpractices.coreinfrastructure.org/projects/843/badge)](https://bestpractices.coreinfrastructure.org/projects/843) [![Apache 2.0 License](https://img.shields.io/badge/license-Apache%202-blue.svg)](https://www.apache.org/licenses/LICENSE-2.0.txt)

[![Black Hat Arsenal](https://raw.githubusercontent.com/toolswatch/badges/master/arsenal/usa/2018.svg?sanitize=true)](https://www.blackhat.com/us-18/arsenal.html#jeremy-long) [![Black Hat Arsenal](https://raw.githubusercontent.com/toolswatch/badges/master/arsenal/usa/2015.svg?sanitize=true)](https://www.blackhat.com/us-15/arsenal.html#jeremy-long) [![Black Hat Arsenal](https://raw.githubusercontent.com/toolswatch/badges/master/arsenal/usa/2014.svg?sanitize=true)](https://www.blackhat.com/us-14/arsenal.html#Long) [![Black Hat Arsenal](https://raw.githubusercontent.com/toolswatch/badges/master/arsenal/usa/2013.svg?sanitize=true)](https://www.blackhat.com/us-13/arsenal.html#Long)

# Dependency-Check

Dependency-Check is a Software Composition Analysis (SCA) tool that attempts to detect publicly disclosed vulnerabilities contained within a project's dependencies. It does this by determining if there is a Common Platform Enumeration (CPE) identifier for a given dependency. If found, it will generate a report linking to the associated CVE entries.

Documentation and links to production binary releases can be found on the [github pages](https://dependency-check.github.io/DependencyCheck). Additionally, more information about the architecture and ways to extend dependency-check can be found on the [wiki].

## Notice

This product uses the NVD API but is not endorsed or certified by the NVD.

## Mandatory Upgrade to 12.1.0+

Due to NVD API compatibility changes, an upgrade is mandatory. See [#7463](https://github.com/dependency-check/DependencyCheck/issues/7463) for more information.

## Breaking Changes in 11.0.0

- Java 11 is now required to run dependency-check `11.0.0` or higher
- H2 database upgrade

    `11.0.0` contains breaking changes using the local H2 database. A full download
    of the NVD data will occur. Note that if you are using a shared data directory
    the h2 database file is not compatible with older versions of dependency-check.
    If you run into problems you may need to run a purge:

    - gradle: `./gradlew dependencyCheckPurge`
    - maven: `mvn org.owasp:dependency-check-maven:11.0.0:purge`
    - cli: `dependency-check.sh --purge`

## Other notices

### NVD API Key Highly Recommended

Dependency-check moved from using the NVD data-feed to the NVD API since `9.0.0+` (January 2024).
Users of d
阅读完整原文

商业机会分析 AI 生成

NVD & 漏洞库集中式高速同步代理/自建镜像服务

产品构想针对 README 中强调的 NVD API 限流（403 错误）和 CI 环境本地数据库同步极慢痛点，构建中心化的托管漏洞数据库/API 代理网关，用户仅需一行配置即可享受秒级缓存和预热库。
核心功能集中维护合规的 NVD/Sonatype 数据镜像；提供与 DependencyCheck 兼容的本地 H2 数据库一键同步包/持久化存储镜像；API 请求限流重试与合并处理。
目标用户中小型研发团队、重度依赖 CI/CD 并行流水线的 DevOps 工程师。
难度/周期中等 · 2-4 周 · 成本：低（云服务器、对象存储及 API 出网流量费用）
收费模式SaaS 订阅制（按 CI 构建并发数或每月数据同步请求量阶梯收费）。
竞争风险NVD 或数据提供方政策收紧对代理镜像的合规限制（需持续跟进 NVD 授权政策）；商业竞品直接集成自研 SCA 引擎压低利润空间。
依据 已验证事实

轻量级 SCA 扫描结果治理与报告可视化平台

产品构想Dependency-Check 本身主要输出 HTML/XML/JSON 静态报告。构建轻量化的私有化/云端仪表盘，集中收集流水线产生的 Dependency-Check 报告，提供历史趋势、误报抑制（Suppression）协同管理与告警通知。
核心功能多项目扫描报告自动上传与统一分析；跨团队的 CVE 抑制规则（Suppression XML）统一管理与下发；漏洞修复进度追踪与安全基线卡点通知（Webhook/钉钉/飞书）。
目标用户安全工程师、研发主管、合规审查人员。
难度/周期中等 · 4-6 周 · 成本：低（轻量前后端架构部署）
收费模式开源核心+商业插件（或团队版席位订阅、私有化一次性买断/年保）。
竞争风险面临 Dependency-Track 等成熟开源竞品的功能重叠竞争（需依靠极致轻量和极低上手成本突围）。
依据 数据支持的判断

企业 CI/CD 漏洞治理与 DevSecOps 落地咨询服务

产品构想利用 Dependency-Check 作为底层工具，针对企业合规需求提供依赖项安全扫描落地、构建流水线性能优化（解决 H2 升级和 Gradle 依赖冲突问题）的技术顾问服务。
核心功能定制化 CI/CD 流水线集成方案（解决限流与依赖冲突）；误报清洗策略定制与漏洞优先级排序服务；软件物料清单（SBOM）与合规报告交付。
目标用户面临软件供应链安全合规审查（如 ISO 27001、等级保护等）的企业技术负责人。
难度/周期低 · 1-2 周 · 成本：极低（主要为人力交付成本）
收费模式咨询服务费、按项目/交付节点计费。
竞争风险交付难以规模化，严重依赖个人安全专业知识和客户资源拓客。
依据 AI推测
AI 基于仓库公开数据分析生成，含推测成分，不构成收益承诺。
报告会保存到 个人中心

竞品与相似项目 GitHub Search 真实检索

项目中文简介Stars语言
albuch/sbt-dependency-check 中文介绍暂未生成
SBT Plugin for OWASP DependencyCheck. Monitor your dependenc
 265 Scala
jeremylong/DependencyCheck 中文介绍暂未生成
The dependency-check repository has moved:
 56 Java
nMoncho/sbt-dependency-check 中文介绍暂未生成
SBT Plugin for OWASP DependencyCheck. Monitor your dependenc
 31 Scala
JonathanGiles/DependencyChecker 中文介绍暂未生成
A Java app that reports on dependency conflicts based on Mav
 28 Java
stefanneuhaus/dependencycheck-central-mysql-docker 中文介绍暂未生成
Self-updating OWASP DependencyCheck Database Server :book:
 16 Dockerfile
jgamblin/GithubDependencyCheck 中文介绍暂未生成
Run DependencyCheck Against Your Orgs GitHub Repos.
 14 Shell
以上为通过 GitHub 官方 Search API 检索的相似项目，功能差异与优劣势需进一步人工确认，配置 AI 后可生成对比分析。

项目优势与风险

技术成熟度创建于 ，最近推送 ，发布过 94 个 Release
社区活跃Star 7,768 / Fork 0 / Issue 0（数据支持，可自行核实）
许可证未检测到（需人工确认）
主要风险上游项目方向可能变化；同赛道竞争者较多（见竞品表）；热度与需求不完全等价

安装与使用

快速开始（以仓库 README 为准）
git clone https://github.com/dependency-check/DependencyCheck.git
cd DependencyCheck
# 请阅读仓库 README 获取确切安装步骤（依赖、配置、启动命令）
阅读原仓库文档
术语说明：Docker＝应用容器（把程序和依赖打包运行）；API Key＝调用外部服务的密钥；Git Clone＝把仓库代码下载到本地。常见错误：API Key 未配置 / 端口占用 / 数据库连接失败，多数项目在 README 的 Troubleshooting 章节有说明。