SonarQube 的安全扫描依赖项

Question

我是 SonarQube 的新手。

我正在使用 SonarQube 对我的 Java 源代码进行安全扫描。我还在使用 Trivy 对我的 Docker 容器进行安全扫描，我在其中打包 Java 应用程序以进行部署。

我在 JBoss 和 Tomcat Web 服务器上部署我的代码。

所以，我让 SonarQube 对我的源代码进行安全扫描，让 Trivy 对我的 Docker 映像进行安全扫描，但现在我需要一些东西来安全扫描我的代码的依赖项 (JAR)。

SonarQube 能否扫描依赖项 Apache 库并报告哪些依赖项包含安全流并需要用较新的版本替换？如果是，怎么做？

Answer 1

我认为dependency-check 项目就是您所追求的；有 Grade 和 Maven 插件使其使用更容易，并且可以与 SonaqQube 集成。