Dependency-Track Maven 插件使用教程

Dependency-Track Maven 插件使用教程

dependency-track-maven-plugin Maven plugin that integrates with a Dependency Track server to submit dependency manifests and optionally fail execution when vulnerable dependencies are found. 项目地址: https://gitcode.com/gh_mirrors/de/dependency-track-maven-plugin

1. 项目目录结构及介绍

dependency-track-maven-plugin/
├── doc/
│   └── 项目文档和相关说明
├── src/
│   ├── main/
│   │   ├── java/
│   │   │   └── io/github/pmckeown/dependencytrack/
│   │   │       ├── DependencyTrackMojo.java
│   │   │       └── 其他Java源文件
│   │   └── resources/
│   │       └── 项目资源文件
│   └── test/
│       ├── java/
│       │   └── io/github/pmckeown/dependencytrack/
│       │       └── 测试Java源文件
│       └── resources/
│           └── 测试资源文件
├── .gitignore
├── LICENSE
├── README.md
└── pom.xml

目录结构说明

• doc/: 包含项目的文档和相关说明文件。
• src/main/java/: 包含项目的Java源代码文件。
  • io/github/pmckeown/dependencytrack/: 主要功能实现的Java类文件。
• src/main/resources/: 包含项目的资源文件。
• src/test/java/: 包含项目的测试Java源代码文件。
• src/test/resources/: 包含项目的测试资源文件。
• .gitignore: Git忽略文件配置。
• LICENSE: 项目许可证文件。
• README.md: 项目介绍和使用说明。
• pom.xml: Maven项目的配置文件。

2. 项目的启动文件介绍

DependencyTrackMojo.java

DependencyTrackMojo.java 是该项目的主要启动文件，位于 src/main/java/io/github/pmckeown/dependencytrack/ 目录下。该文件定义了 Maven 插件的主要功能和执行逻辑。

主要功能

• 上传物料清单（BOM）: 将项目的物料清单上传到 Dependency-Track 服务器。
• 获取项目发现: 获取项目中的漏洞发现，用于 CI/CD 质量控制。
• 获取继承风险评分: 获取项目的继承风险评分，用于 CI/CD 质量控制。
• 获取项目指标: 获取项目的指标数据，用于 CI/CD 质量控制。
• 删除项目: 从 Dependency-Track 服务器中删除项目。

3. 项目的配置文件介绍

pom.xml

pom.xml 是 Maven 项目的配置文件，位于项目根目录下。该文件定义了项目的依赖、插件配置、构建配置等信息。

主要配置项

• 插件管理: 定义插件的版本和配置。
• 依赖: 定义项目所需的依赖库。
• 构建配置: 定义项目的构建过程和目标。

示例配置

<pluginManagement>
  <plugins>
    <plugin>
      <groupId>io.github.pmckeown</groupId>
      <artifactId>dependency-track-maven-plugin</artifactId>
      <version>${dependency-track-maven-plugin.version}</version>
      <configuration>
        <dependencyTrackBaseUrl>http://localhost:8081</dependencyTrackBaseUrl>
        <apiKey>API_KEY</apiKey>
      </configuration>
    </plugin>
  </plugins>
</pluginManagement>

配置说明

• dependencyTrackBaseUrl: Dependency-Track 服务器的 URL。
• apiKey: 访问 Dependency-Track 服务器的 API 密钥。

通过以上配置，可以实现将项目的物料清单上传到 Dependency-Track 服务器，并进行相关的质量控制和风险评估。

dependency-track-maven-plugin Maven plugin that integrates with a Dependency Track server to submit dependency manifests and optionally fail execution when vulnerable dependencies are found. 项目地址: https://gitcode.com/gh_mirrors/de/dependency-track-maven-plugin