极狐 GitLab 依赖扫描:助力开发者管理软件供应链

极狐GitLab 是 GitLab 在中国的发行版,专门面向中国程序员和企业提供企业级一体化 DevOps 平台,用来帮助用户实现需求管理、源代码托管、CI/CD、安全合规,而且所有的操作都是在一个平台上进行,省事省心省钱。可以一键安装极狐GitLab,详情可以参考极狐GitLab 下载安装官网

GitLab 中文版学习资料

你知道一个 Java 项目需要多少个依赖吗?你知道一个 Java 项目使用的依赖是否存在漏洞吗?你知道如何查看一个依赖漏洞的相关信息吗?你知道如何修复一个依赖漏洞吗?

项目依赖数量

  1. 在 Spring Boot 官网项目类型选择 Maven,依赖只选择一个 Spring Web,打包后,解压产物, 在 BOOT-INF\lib 文件夹中,可以发现程序使用了 30 个依赖。
  2. 作者本人在上个月(2024年2月)刚创建的一个微服务项目, 功能简单(就连数据库功能都没有),暂无业务,打包后,解压产物,依赖去重后,有 144 个, 目前功能仅有(截止到 2024-03-07):
    网关功能
    • OAuth 2.1 授权功能
    • OAuth 2 资源功能
    • AOP 功能
    • 监控 功能
    • Swagger 文档

解决方案

本人使用 极狐 GitLab 扫描项目依赖,查看依赖漏洞。

可以轻松帮助我们扫描项目依赖,识别依赖的漏洞,提高项目安全性。

配置

第一步:添加 CI 代码

在极狐GitLab 流水线中添加 4 行代码,提交记录,流水线执行记录, 执行结果如下:

复制代码
stages:
  - test

include:
  - template: Jobs/Dependency-Scanning.gitlab-ci.yml

第二步:查看扫描结果

第三步:查看漏洞报告

第四步:查看某个漏洞

第五步:仪表盘查看

观察引入依赖的漏洞数量折线图

相关推荐
yeshan3331 小时前
使用 Claude Code 的自定义 Sub Agent 完善博文写作体验
ai·github·agent·claudecode
程序视点2 小时前
望言OCR 2025终极评测:免费版VS专业版全方位对比(含免费下载)
前端·后端·github
玩个冰球3 小时前
Stata 18下载安装教程(非常详细),看完这一篇就够了(附安装包)
github
Xi_Xu3 小时前
Xget:下一代开源资源获取加速引擎,让你的文件下载、储存库克隆和镜像拉取快如闪电
开源·github
人生都在赌3 小时前
AI Agent从工具到生态的秘密:我们踩过的坑和3个月实践教训
人工智能·ci/cd·devops
人生都在赌3 小时前
一个AI工作流如何让代码审查从手动到智能?实战拆解
ai编程·devops·cursor
用户4099322502125 小时前
FastAPI的查询白名单和安全沙箱机制如何确保你的API坚不可摧?
前端·后端·github
人生都在赌7 小时前
从拒绝Copilot到拥抱GPT-5 Agent:一个Team Leader的效能革命
人工智能·架构·devops
计算机毕设定制辅导-无忧学长8 小时前
InfluxDB Flux 查询协议实战应用(二)
github
不念霉运11 小时前
2025 Gitee vs. GitLab:全面对比与选择指南
gitee·gitlab