OWASP Dependency-Check 使用

说明：

我们在开发过程中，通常会使用一些第三方依赖，例如: poi，fastjson，hutool等。那我们怎么知道自己所依赖的第三方是否是有安全漏洞。保证我的系统是安全的。  今天给大家介绍一下 owasp。

他的原理就是， 它通过检查我们的依赖，然后对比一些公开的漏洞库。来给我们生成报告，告知我们哪些依赖是有问题的，通过这些提示，我们可以去提高依赖的版本（一般高版本会修复相关漏洞）或者更换依赖。

步骤：

1、在pom 文件plugins中添加如下插件

<plugin>
    <groupId>org.owasp</groupId>
    <artifactId>dependency-check-maven</artifactId>
    <version>8.0.2</version>
    <executions>
        <execution>
            <goals>
                <goal>check</goal>
            </goals>
        </execution>
    </executions>
</plugin>

像这样，刷新完依赖，如下

2、打开梯子

因为需要下载漏洞库的资源，所以，需要有梯子哈。

3、执行

正常情况下，需要等待10多分钟，因为在下载漏洞库。

4、可能碰到的问题

这个是因为这个文件，因为网络问题，没自动下载下来，我们只需手动把这个文件下载下来，放到对应的位置(提示信息上有)

好了，再执行一次。

结束。