WhiteSource Bolt 使用方法

安装 WhiteSource Bolt 扩展

进入扩展市场

搜索并安装 WhiteSouce

安装成功后可以在组织设置 - 扩展中看到

在 Azure Pipeline 中使用 WhiteSource Bolt

添加 WhiteSource Bolt 任务

- task: WhiteSource Bolt@20
  inputs:
    cwd: 'Company.MyProject.API/**/*' # 指定扫描目录

运行 Pipeline，结束后在如下位置查看检查报告

报告内容解析

Security Analysis

• Vulnerability Score：高中低和安全四个等级，由最严重的一个漏洞决定
• Vulnerability Libraries：有漏洞库的总数
• Severity Distribution：库漏洞严重等级的分布情况
• Aging Vulnerable Libraries：该库被检测出漏洞至今，时间跨度的分布情况

Security Vulnerabilities

• Vulnerability：漏洞严重性等级、发布日期及漏洞相关资料链接
• Library：库名
• Description：漏洞描述
• Top Fix：建议的修复方法

License Risks and Compliance

• License Distribution：用各类开源协议的库数量，及对应的风险高低
• License Risk Distribution：开源协议风险的分布情况

Outdated Libraries

• Library：库名
• Versions：库当前使用的版本，最新版本的版本号及发布日期，间隔的版本数量
• Recommendations：升级建议

Inventory：所有检测到的开源库列表，开源协议类型，项目主页/下载地址

付费版本

可以参考官方文档或这一篇汇总