dep-scan

环境要求

• 已安装 Docker，可运行 docker run
• 待扫描的项目位于宿主机某个目录（示例为当前目录 $PWD）
• 网络可访问 ghcr.io 以拉取镜像
• 如需缓存漏洞库，需准备一个可写宿主机目录（如 /tmp）

安装与启动步骤

1. 1确认 Docker 可用

   README 使用 ghcr.io 镜像扫描，先确认本机 docker 命令可用并能拉取镜像。

   docker --version

   复制

2. 2默认参数扫描项目

   把当前目录挂到容器 /app，扫描后报告写入挂载目录下的 reports 子目录。

   docker run --rm -v $PWD:/app ghcr.io/owasp-dep-scan/dep-scan depscan --src /app --reports-dir /app/reports

   复制

3. 3查看扫描报告

   报告写入宿主机 $PWD/reports，直接打开该目录查看生成的风险审计结果。

   ls -l reports

   复制

4. 4缓存漏洞库加速扫描

   将宿主机 /tmp 挂载为容器内 /db 并设为 VDB_HOME，缓存漏洞数据供复用；GITHUB_TOKEN 填入自己的令牌。

   docker run --rm -e VDB_HOME=/db -e GITHUB_TOKEN=ghp_xxxxxxxx -v /tmp:/db -v $PWD:/app ghcr.io/owasp-dep-scan/dep-scan depscan --src /app --reports-dir /app/reports

   复制

5. 5初始化本地 VDB

   在已安装 dep-scan 命令行环境（如本机 Python 版）中，先清理再下载镜像化漏洞库。

   vdb --clean
   vdb --download-image

   复制

关键配置

如何确认成功

docker run 命令正常退出且无报错，并在挂载的 $PWD 下出现 reports 目录及扫描报告文件。

常见问题

注意事项

• README 以 Docker 镜像方式为主要快速上手路径，镜像地址为 ghcr.io/owasp-dep-scan/dep-scan。
• 传入 GITHUB_TOKEN 时避免在共享环境或命令历史中泄露真实令牌。
• 挂载 /tmp:/db 缓存漏洞库时，注意宿主机目录可写且磁盘空间充足。