SonarQube - JS 依赖项安全漏洞扫描

Question

我有一个大型项目，其中包括通过 NPM/Yarn 下载依赖项的前端部分，并且正在寻找对 package.json 中定义的这些第三方依赖项的安全漏洞扫描。

我已经知道诸如 Snyk、retireJS、NSP（现在被 NPM 收购）等选项，但是想知道是否有一个不错的插件可以用来添加到 SonarQube。想法是扫描依赖项列表，使用 CVE 数据库对其进行检查，并生成一份 HTML 报告，其中包含确定每个漏洞风险级别的漏洞。

谢谢

Answer 1

使用OWASP Dependency Check 并使用this plugin 将报告集成到SonarQube 中怎么样？

它将使用来自 NSP 和 RetireJS 的信息进行扫描。