请帮助我处理这个特殊的抑制错误。

Question

我正试图通过suppression.xml文件来消除某些漏洞。我按照分配提示符的指示，添加完整的xml文档，以复制并粘贴到我的抑制文件中。我收到一个错误：“org.owasp.dependencycheck.xml.suppression.SuppressionParseException: org.xml.sax.SAXException: Line=14，Column=6:不允许与"xXlL”匹配的处理指令目标匹配“导致的"InitializationException:警告初始化抑制分析器:未能加载suppression.xml”。我不知道为什么会发生这个错误。我对软件安全也相当陌生。

<suppressions
    xmlns="https://jeremylong.github.io/DependencyCheck/dependency-suppression.1.3.xsd">
    <suppress>
        <notes><![CDATA[
  file name: spring-boot-2.2.4.RELEASE.jar
  ]]></notes>
        <packageUrl regex="true">
            ^pkg:maven/org\.springframework\.boot/spring\-boot@.*$
        </packageUrl>
        <cve>CVE-2022-27772</cve>
    </suppress>
</suppressions>

<suppressions
    xmlns="https://jeremylong.github.io/DependencyCheck/dependency-suppression.1.3.xsd">
    <suppress>
        <notes><![CDATA[
  file name: logback-core-1.2.3.jar
  ]]></notes>
        <packageUrl regex="true">
            ^pkg:maven/ch\.qos\.logback/logback\-core@.*$
        </packageUrl>
        <cve>CVE-2021-42550</cve>
    </suppress>
</suppressions>

suppression.xml代码

Answer 1

链接屏幕截图显示，顶部元素提供了两次。

<?xml version="1.0" encoding="UTF-8"?>    
<suppressions
    xmlns="https://jeremylong.github.io/DependencyCheck/dependency-suppression.1.3.xsd">

你只应该声明一次。

你的抑制看起来很好。但是，所有<supress>标记都应该按顺序提供，并在<suppression>文件中的<suppression>标记中提供。

尝试将您的suppression.xml更改为如下所示：

<?xml version="1.0" encoding="UTF-8"?>
<suppressions xmlns="https://jeremylong.github.io/DependencyCheck/dependency-suppression.1.3.xsd">
    <suppress>
        <notes><![CDATA[file name: spring-boot-2.2.4.RELEASE.jar]]>
       </notes>
        <packageUrl regex="true">
            ^pkg:maven/org\.springframework\.boot/spring\-boot@.*$
        </packageUrl>
        <cve>CVE-2022-27772</cve>
    </suppress>
    <suppress>
        <notes><![CDATA[file name: logback-core-1.2.3.jar]]></notes>
        <packageUrl regex="true">
            ^pkg:maven/ch\.qos\.logback/logback\-core@.*$
        </packageUrl>
        <cve>CVE-2021-42550</cve>
    </suppress>
</suppressions>

另外：</element>标签来自哪里？可以完全移除。