Dependency-Check是一个软件组成分析（SCA）工具，它试图检测项目的依赖关系中包含的公开披露的漏洞。它通过确定一个给定的依赖关系是否有一个通用平台枚举（CPE）标识符来实现这一目标。如果发现，它将生成一份报告，链接到相关的CVE条目。
Dependency-check有一个命令行界面，一个Maven插件，一个Ant任务，以及一个Jenkins插件。核心引擎包含一系列分析器，用于检查项目的依赖关系，收集有关依赖关系的信息（在工具中被称为证据）。然后，这些证据被用来识别给定依赖关系的通用平台枚举（CPE）。如果确定了CPE，报告中就会列出相关的常见漏洞和暴露（CVE）条目。其他第三方服务和数据源，如NPMAuditAPI、OSSIndex、RetireJS和BundlerAudit都被用于特定技术。
Dependency-check使用NIST托管的NVD数据源自动更新。IMPORTANTNOTE：数据的初始下载可能需要10分钟或更长时间。如果你每七天至少运行一次该工具，只需要下载一个小的JSON文件，以保持数据的本地副本的有效性。
评论