4. 依赖扫描工具实战：Snyk、OWASP Dependency-Check、Trivy的安装与使用

聊到依赖扫描，很多团队第一反应是「找个工具跑一下就行」。但说实话，工具选型这件事，我在不同项目里踩过不少坑。有的工具扫描慢得像蜗牛，有的误报率高到让人崩溃，还有的根本不支持你用的语言生态。

今天我就把三款主流工具——Snyk、OWASP Dependency-Check、Trivy——掰开揉碎讲清楚。它们各有各的脾气，也各有各的绝活。

4.1 工具选型对比：谁适合什么场景？

先上一张对比表，让你心里有个底。这三款工具我都在生产环境里用过，下面这些差异是我自己实测出来的。

特性	Snyk	OWASP Dependency-Check	Trivy
许可证	商业（有免费层）	Apache 2.0（开源）	Apache 2.0（开源）
语言支持	30+ 语言/包管理器	Java/.NET/Python/Ruby等	所有主流语言 + OS包
扫描速度	快（云端分析）	中等（本地NVD数据库）	极快（缓存友好）
漏洞库	自研 + 社区 + NVD	NVD + 官方CVE	NVD + GitHub Advisory + RedHat
容器镜像扫描	支持	不支持	原生支持（强项）
CI/CD集成	极好（原生插件多）	好（Maven/Gradle插件）	极好（CLI + GitHub Action）
误报率	低	中等偏高	低

看到这个表，你可能想问：「那我到底该选哪个？」我的建议是：小团队或初创项目，先用 Trivy 打底，零成本、速度快；合规要求高的企业项目，加一个 Snyk 做深度分析；Java 生态的老项目，OWASP Dependency-Check 依然是标配。

4.2 Snyk：商业级依赖安全平台

Snyk 是我个人用得最多的工具。为什么？因为它「懂」开发者。你想想看，一个工具能直接告诉你「这个漏洞在你的代码里怎么被触发的」，而不是只丢给你一个CVE编号，这体验差距太大了。

4.2.1 安装与初始化

Snyk 的安装方式很灵活。我习惯用 npm 全局安装，这样在任何项目目录下都能直接调用。

# 通过 npm 安装 Snyk CLI
npm install -g snyk

# 验证安装
snyk --version

# 登录（需要先注册免费账号）
snyk auth

4.2.2 扫描项目依赖

进入项目目录，直接跑 snyk test 就行。它会自动识别包管理器文件（比如 package.json、pom.xml、requirements.txt）。

# 扫描当前项目
cd /path/to/your/project
snyk test

# 输出 JSON 格式（方便后续处理）
snyk test --json > snyk-report.json

# 监控项目（持续跟踪新漏洞）
snyk monitor

我记得有一次，一个 Node.js 项目跑完 snyk test，直接报出 47 个漏洞。当时团队都慌了。但 Snyk 很贴心地给出了修复建议——snyk fix 命令能自动升级到安全版本。

# 自动修复可修复的漏洞
snyk fix

4.2.3 集成到 CI 流水线

在 GitHub Actions 里集成 Snyk 非常简单。下面是我在一个 Go 项目里用的配置片段。

# .github/workflows/snyk-scan.yml
name: Snyk Dependency Scan
on: [push, pull_request]
jobs:
  snyk:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v3
      - name: Run Snyk
        uses: snyk/actions/node@master
        env:
          SNYK_TOKEN: ${{ secrets.SNYK_TOKEN }}
        with:
          args: --severity-threshold=high

4.3 OWASP Dependency-Check：老牌开源利器

OWASP Dependency-Check 是开源界的元老级工具。虽然它的界面有点「复古」，但胜在稳定可靠。我在一个金融客户的项目里，就是用这个工具通过了等保测评的依赖安全审查。

4.3.1 安装方式

它支持多种安装方式。我推荐用 Maven 插件，对 Java 项目最省事。

# 方式一：Maven 插件（推荐）
# 在 pom.xml 中添加插件配置

# 方式二：CLI 安装（跨项目使用）
wget https://github.com/jeremylong/DependencyCheck/releases/download/v9.0.9/dependency-check-9.0.9-release.zip
unzip dependency-check-9.0.9-release.zip
cd dependency-check/bin
./dependency-check.sh --version

4.3.2 Maven 项目集成

在 pom.xml 里配置好插件后，一行命令就能跑起来。

<!-- pom.xml 插件配置 -->
<plugin>
    <groupId>org.owasp</groupId>
    <artifactId>dependency-check-maven</artifactId>
    <version>9.0.9</version>
    <configuration>
        <failBuildOnCVSS>7</failBuildOnCVSS>
        <formats>
            <format>HTML</format>
            <format>JSON</format>
        </formats>
    </configuration>
</plugin>

# 执行扫描
mvn dependency-check:check

# 生成报告（在 target/dependency-check-report.html）
mvn dependency-check:aggregate

4.3.3 解读报告

生成的 HTML 报告里，我最关注三个指标：

• CVSS 分数：7分以上的漏洞必须立即处理
• 证据列：确认漏洞是否真的影响你的代码路径
• 修复版本：直接告诉你升级到哪个版本

说实话，Dependency-Check 的误报率确实偏高。我遇到过它把 Log4j 的漏洞报在 Spring Boot 的传递依赖上，但实际上 Spring Boot 已经做了安全封装。这时候需要人工确认，不能盲目升级。

4.4 Trivy：全能型扫描利器

Trivy 是这三款里我最晚接触的，但用上之后就离不开了。为什么？因为它快，而且能扫的东西太多了——依赖、容器镜像、K8s 配置、IaC 文件，一个工具全搞定。

4.4.1 安装

Trivy 的安装极其简单。我通常用官方脚本一键安装。

# 方式一：官方脚本（推荐）
curl -sfL https://raw.githubusercontent.com/aquasecurity/trivy/main/contrib/install.sh | sh

# 方式二：Homebrew（macOS）
brew install trivy

# 方式三：Docker 运行
docker run --rm -v /var/run/docker.sock:/var/run/docker.sock aquasec/trivy:latest image alpine:3.18

4.4.2 扫描项目依赖

Trivy 会自动识别项目里的依赖文件。我最喜欢它的 --severity 参数，可以只关注高危漏洞。

# 扫描当前目录下的依赖
trivy fs .

# 只显示 CRITICAL 和 HIGH 级别的漏洞
trivy fs --severity CRITICAL,HIGH .

# 输出 SARIF 格式（方便导入 GitHub Security Tab）
trivy fs --format sarif -o report.sarif .

4.4.3 容器镜像扫描（Trivy 的杀手锏）

这是 Trivy 最强大的功能。它能扫描镜像里的操作系统包和语言依赖，双重覆盖。

# 扫描本地镜像
trivy image nginx:1.25

# 扫描远程镜像（无需拉取）
trivy image --severity CRITICAL docker.io/library/nginx:1.25

# 扫描 Dockerfile 构建产物
docker build -t my-app:latest .
trivy image my-app:latest

4.4.4 集成到 GitLab CI

下面是我在 GitLab CI 里用的配置。注意我加了 --exit-code 1，这样有高危漏洞时流水线会失败。

# .gitlab-ci.yml
trivy-scan:
  stage: test
  image: aquasec/trivy:latest
  script:
    - trivy fs --exit-code 1 --severity CRITICAL,HIGH .
  artifacts:
    paths:
      - trivy-report.sarif
    when: always

4.5 三款工具的知识体系图

下面这张图帮你理清三款工具的核心定位和适用场景。我画这张图的时候，特意把「容器镜像扫描」放在中间，因为这是很多团队容易忽略的盲区。

4.6 我的实战建议

说了这么多，最后给你三个落地建议：

1. 别只依赖一个工具。每个工具的漏洞库都有盲区。我在一个项目里，Snyk 没扫出来的漏洞，Trivy 发现了。反过来也有。所以 CI 里至少跑两个工具。
2. 设置合理的阈值。别一上来就要求零漏洞。我建议先设 --severity=CRITICAL，等团队适应了再降到 HIGH。否则开发人员会被海量告警淹没，最后干脆不看报告了。
3. 把扫描结果纳入开发流程。光扫不修等于白扫。我习惯在 PR 里自动添加扫描结果评论，让开发者在代码审查阶段就看到依赖风险。