在python项目中轻松安装owasp依赖项检查cli的shim
dependency-check的Python项目详细描述
概述
dependency-check扫描应用程序依赖项并检查它们是否包含任何已发布的漏洞 （基于NIST NVD）。 它在jvm中运行，因此需要在PATH中提供某种形式的java。 这个脚本应该可以在Linux、MacOSX和Windows上运行，但现在只在Linux上测试。
用法
安装后，您将获得dependency-check命令，该命令在首次使用时， 将为所有项目自动下载并安装一次owasp版本存档。 然后它会将所有调用重定向到该安装，这意味着下载的nvd数据是共享的 在项目中。 请参阅DependencyCheck site了解更多配置和使用详细信息。
要从pypi安装，请将dependency-check添加到dev-requirements.txt 或者类似的文件。有关更多安装选项，请参阅下一节。
只需在家中安装dependency-checkcli工具， 独立于任何项目，您可以使用pip script installer或 pip install --userdependency-check。
定制
使用环境变量，您可以更改发布存档的版本和下载位置， 以及本地安装的目录。
| Variable | Default |
|---|---|
| ^{tt9}$ | ^{tt10}$ |
| ^{tt11}$ | ^{tt12}$ |
| ^{tt13}$ | ^{tt14}$ |
| ^{tt15}$ | Use NIST NVD URLs |
要更新到新版本的owasp软件， 删除~/.local/dependency-check/bin/， 将DEPENDENCY_CHECK_VERSION设置为新版本号， 并调用dependency-check。
变量DEPENDENCY_CHECK_NVD_URL可用于指向各种nvd提要的本地副本， 在包含未压缩XML文件的平面层次结构中 （如果设置此选项，则选项--cveUrl12Modified、--cveUrl20Modified、--cveUrl12Base和 --cveUrl20Base将添加到每个调用中）。
安装
依赖项检查可以像往常一样通过pip install dependency-check安装， 有关可用版本的概述，请参见releases。 若要从源代码获取出血边缘版本，请使用以下命令：
repo="jhermann/dependency-check-py" pip install -r "https://raw.githubusercontent.com/$repo/master/requirements.txt" pip install -U -e "git+https://github.com/$repo.git#egg=dependency-check"
作为开发人员，要为此项目创建工作目录，请调用以下命令：
git clone "https://github.com/jhermann/dependency-check-py.git" cd "dependency-check-py" . .env --yes --develop invoke build check
你可能还需要遵循一些 setup procedures 在linux、mac os x和windows上提供必要的基本命令。
其他python安全工具
- openstack/bandit通过静态ast分析，安全linter设计用于在python代码中发现常见的安全问题。
- pyupio/safety–安全检查已安装的依赖项是否存在已知的安全漏洞。
- pyupio/safety-db–python包中安全漏洞的管理数据库。
欢迎加入QQ群-->： 979659372
