使用OWASP依赖项检查工具来解决2013年前10名-A9-使用已知漏洞的组件如何？

Question

我知道OWASP依赖项检查工具在寻找易受攻击的依赖关系方面真的很好，我个人已经将它用于实验目的。但是，是否有人在企业级使用过它，比如扫描已建立的产品中的易受攻击的jars？

Answer 1

是的，在进入企业级组织生产之前，我已经将此工具视为依赖项之一。

我必须说，这不是完美无缺的，需要相当的注意，因为假阳性。这些假阳性可以放在忽略文件中。

然而，我认为这是一个很好的“额外”之前，发布一个产品的生产。