アプリケーションコードの依存関係チェック

Question

ビルド時にアプリケーションコードベースのセキュリティスキャンを実装するソリューションを探しています。このアイデアは、ソフトウェア開発ライフサイクルの早い段階でセキュリティ脆弱性のリストを取得することです。

私は、Mavenビルドを使用する単純なJavaプロジェクトを持っています。 javaプロジェクトは多数の.jar依存関係を指定し、.warファイルをビルド出力として出力します。

依存関係チェック mavenプラグイン（http://jeremylong.github.io/DependencyCheck/dependency-check-maven/index.html）が見つかりました（構成できました）。しかし、それは依存関係のジャーをスキャンして脆弱性の報告を出すが、私の場合は.warファイルである最終的な成果物はスキャンしていないようだ。

.warも同様にスキャンするようにするにはどうすればよいですか？ 依存関係チェックプラグインがこれに適したツールですか？

Answer 1

依存関係チェックは、独自のコードをチェックするための適切なツールではありません。既知の脆弱性レポートのリストを使用して、依存関係のいずれかに欠陥があるかどうかを判断します。コードのアクティブスキャンは行いません。 Plugin wiki

HPのFortifyはまともな商用ソリューションですが、もっとDIYソフトウェアの設定で作業している場合は、Sonarをお勧めします。確かに多くのスタティックコード分析ツールがあります。すべてに長所と短所があります。