SonarQube - JS依赖安全漏洞扫描

Question

我有一个大型项目，其中包括通过NPM/Yarn下载依赖项的前端部分，并正在寻找在package.json中定义的第三方依赖项的安全漏洞扫描。

我已经知道像Snyk，retireJS，NSP (现在被NPM收购)之类的选项，但是我想知道是否有一个好的插件可以用来添加到SonarQube中。这个想法是扫描依赖列表，用CVE数据库检查它，并生成一个包含漏洞的HTML报告，识别每个漏洞的风险级别。

谢谢

Answer 1

如何使用OWASP Dependency Check并使用this plugin将报告集成到SonarQube中

它将使用来自NSP和RetireJS的信息来进行扫描。