Dependency-Check 是一個(gè)軟件組成分析（SCA）工具，它試圖檢測(cè)項(xiàng)目的依賴關(guān)系中包含的公開(kāi)披露的漏洞。它通過(guò)確定一個(gè)給定的依賴關(guān)系是否有一個(gè)通用平臺(tái)枚舉（CPE）標(biāo)識(shí)符來(lái)實(shí)現(xiàn)這一目標(biāo)。如果發(fā)現(xiàn)，它將生成一份報(bào)告，鏈接到相關(guān)的CVE條目。

Dependency-check 有一個(gè)命令行界面，一個(gè)Maven插件，一個(gè)Ant任務(wù)，以及一個(gè)Jenkins插件。核心引擎包含一系列分析器，用于檢查項(xiàng)目的依賴關(guān)系，收集有關(guān)依賴關(guān)系的信息（在工具中被稱(chēng)為證據(jù)）。然后，這些證據(jù)被用來(lái)識(shí)別給定依賴關(guān)系的通用平臺(tái)枚舉（CPE）。如果確定了 CPE，報(bào)告中就會(huì)列出相關(guān)的常見(jiàn)漏洞和暴露（CVE）條目。其他第三方服務(wù)和數(shù)據(jù)源，如NPM Audit API、OSS Index、RetireJS和Bundler Audit都被用于特定技術(shù)。

Dependency-check 使用 NIST 托管的NVD數(shù)據(jù)源自動(dòng)更新。IMPORTANT NOTE：數(shù)據(jù)的初始下載可能需要10分鐘或更長(zhǎng)時(shí)間。如果你每七天至少運(yùn)行一次該工具，只需要下載一個(gè)小的JSON文件，以保持?jǐn)?shù)據(jù)的本地副本的有效性。