sbt dependency check

SBT-dependência-verificação

O plug-in de verificação de dependência do SBT permite que os projetos monitorem bibliotecas dependentes para vulnerabilidades publicadas e conhecidas (por exemplo, CVEs). O plug -in alcança isso usando a impressionante biblioteca OWASP DependencyCheck, que já oferece várias integrações com outros sistemas de construção e integração contínua. Para obter mais informações sobre como o OWASP DependEncyCheck funciona e como ler os relatórios, verifique a documentação do projeto.

Índice

• Começando
• Uso
  • Tarefas
  • Configuração
    • Configuração do analisador
    • Configuração avançada
  • Configuração de vários projetos
  • Alterando o nível de log
  • Configuração global de plug -in
  • Correndo atrás de um proxy
• Desenvolvimento
  • Liberar
• Licença

Começando

A verificação de dependência do SBT é uma autoplugina. Basta adicionar o plugin ao arquivo project/plugins.sbt .

 addSbtPlugin("net.vonbuchholtz" % "sbt-dependency-check" % "5.1.0")

Use a verificação de dependência do SBT v2.0.0 ou superior, pois as versões anteriores não são mais compatíveis com os feeds NVD. Começando com a verificação de dependência do SBT v3.0.0 sbt v0.13.x não é mais suportada.

Uso

Tarefas

Tarefa	Descrição	Comando
dependencyCheck	Executa a verificação de dependência contra o projeto atual, seus agregados e dependências e gera um relatório para cada projeto.	$ sbt dependencyCheck
DependencyCheckAgregate	Executa a verificação de dependência contra o projeto atual, seus agregados e dependências e gera um único relatório no diretório de saída do projeto atual.	$ sbt dependencyCheckAggregate
DependencyCheckanyProject	Executa a verificação de dependência em relação a todos os projetos, agregados e dependências e gera um único relatório no diretório de saída do projeto atual.	$ sbt dependencyCheckAnyProject
DependencyCheckUpDateOnly	Atualiza o cache local dos dados NVD do NIST.	$ sbt dependencyCheckUpdateOnly
DependencyCheckPurge	Exclui a cópia local do NVD. Isso é usado para forçar uma atualização dos dados.	$ sbt dependencyCheckPurge
DependencyCheckListettings	Imprime todas as configurações e seus valores para o projeto.	$ sbt dependencyCheckListSettings

Os relatórios serão gravados no local padrão crossTarget.value . Isso pode ser substituído ao definir dependencyCheckOutputDirectory . Consulte Configuração para obter detalhes.

Nota: A primeira execução pode demorar um pouco, pois os dados completos do banco de dados nacional de vulnerabilidades (NVD) hospedados pelo NIST: https://nvd.nist.gov deve ser baixado e importado para o banco de dados. As execuções posteriores apenas baixam conjuntos de alterações, a menos que a última atualização tenha sido há mais de 7 dias. Recomenda -se configurar um espelho do feed NVD em sua rede local para reduzir o risco de limitação da taxa. Consulte https://github.com/stevespringett/nist-data-mirror para obter instruções.

Configuração

sbt-dependency-check usa a configuração padrão do OWASP DependEncyCheck. Você pode substituí -los em seus arquivos build.sbt . Use a tarefa dependencyCheckListSettings para imprimir todas as configurações disponíveis e seus valores no SBT Console.

Contexto	Descrição	Valor padrão
DependencyCheckautoupDate	Define se a atualização automática do NVD CVE/CPE, aposentadoria e dados de supressões hospedados está ativado. Não é recomendável que isso seja transformado em falso.	verdadeiro
DependencyCheckCVValidForHours	Define o número de horas para esperar antes de verificar novas atualizações do NVD.	4
DependencyCheckFailBuildOncvss	Especifica se a construção deve ser falhada se uma pontuação CVSS acima, ou igual a, um nível especificado for identificado. O padrão é 11, o que significa que, como as pontuações do CVSS são de 0 a 10, por padrão, a compilação nunca falhará. Mais informações sobre as pontuações do CVSS podem ser encontradas no NVD	11.0
DependencyCheckJunitFailBuildOncvss	Se o uso do Relatório JUNIT, o dependencyCheckJunitFailOncvSS define o limite de pontuação do CVSS que é considerado uma falha. O valor padrão é 0 - todas as vulnerabilidades são consideradas uma falha.	0
DependencyCheckFormat	O formato do relatório a ser gerado (HTML, XML, JUNIT, CSV, JSON, SARIF, Jenkins, todos). Essa configuração é ignorada se a dependencyCheckReportFormats estiver definida.	Html
DependencyCheckFormats	Uma sequência de formatos de relatório a serem gerados (HTML, XML, JUNIT, CSV, JSON, SARIF, JENKINS, ALL).
DependencyCheckOutputDirectory	O local para escrever o (s) relatório (s).	crossTarget.value por exemplo ./target/scala-2.11 scala-2.11
DependencyCheckScanset	Uma sequência opcional de arquivos que especificam arquivos e/ou diretórios adicionais para analisar como parte da varredura. Se não for especificado, os padrões de convenções de Scala padrão (consulte a documentação do SBT para obter detalhes).	/src/main/resources
DependencyCheckskip	Pula a análise de verificação de dependência	falso
DependencyCheckSkipTestScope	Salta a análise para artefatos com escopo de teste	verdadeiro
DependencyCheckskipRuntImEcope	Salta a análise para artefatos com escopo de tempo de execução	falso
DependencyCheckskipproviedScope	Salta a análise para artefatos com escopo fornecido	falso
DependencyCheckskipoptionalscope	Salta a análise para artefatos com escopo opcional	falso
DependencyCheckSuPressionFiles	A sequência dos caminhos de arquivo para os arquivos de supressão XML - usados ​​para suprimir falsos positivos. Consulte suprimir falsos positivos para a sintaxe do arquivo.
DependencyCheckCPestartSwith	A sequência inicial para identificar os CPEs qualificados para serem importados.
DependencyCheckhintsFile	O caminho do arquivo para o arquivo XML dicas - usado para resolver falsos negativos.
DependencyCheckUSesBtModuleidasgav	Use o módulo SBT como identificador GAV. Garante que o GAV esteja disponível mesmo que o Maven Central não seja.	falso
DependencyCheckanalySistimeout	Defina o tempo limite da análise em minutos	20
DependencyCheckEnableExperal	Habilite os analisadores experimentais. Se não estiver ativado, os analisadores experimentais (veja abaixo) não serão carregados ou usados.	falso
DependencyCheckenableretired	Habilite os analisadores aposentados. Se não estiver ativado, analisadores aposentados não serão carregados ou usados.	falso

Configuração do analisador

As propriedades a seguir são usadas para configurar os vários analisadores de tipo de arquivo. Essas propriedades podem ser usadas para desativar os analisadores específicos, se não for necessário. Observe que analisadores específicos se desativarão automaticamente se nenhum tipo de arquivo que eles suportam forem detectados - portanto, especificamente desativá -los, pode não ser necessário. Para obter mais informações sobre os analisadores individuais, consulte a documentação do Analisador DependencyCheck.

Contexto	Descrição	Valor padrão
DependencyCheckarchiveanAlieRenEnabled	Define se o analisador de arquivo será usado.	verdadeiro
DependencyCheckzipextensions	Uma lista separada por vírgula de extensões de arquivo adicionais a serem tratadas como um arquivo zip, o conteúdo será extraído e analisado.
DependencyCheckJaranalYzeRenabled	Define se o analisador JAR será usado.	verdadeiro
DependencyCheckDartaNalyzeRenabled	Define se o analisador DART experimental está ativado. dependencyCheckEnableExperimental deve ser definido como true.	verdadeiro
DependencyCheckknownownexploitedEnabled	Define se a atualização e o analisador de vulnerabilidade explorados conhecidos estão ativados.	verdadeiro
DependencyCheckknownownexploitedurl	Define o URL para a CISA conhecida vulnerabilidades exploradas JSON Data Feed.	https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json
DependencyCheckknowNomeexploitedValidForHours	Defina o intervalo em horas até a próxima verificação do CISA conhecida vulnerabilidades exploradas JSON Data Feed.	24
DependencyCheckCentralanalYzeRenabled	Defina se o analisador central será usado. Se este analisador estiver sendo desativado, há uma boa chance de você também desativar o analisador Nexus (veja abaixo).	falso
DependencyCheckCentralanalyzeruseCache	Define se o analisador central cache os resultados. Os resultados em cache expiram após 30 dias.	verdadeiro
DependencyCheckossIndexanAlyzeRenabled	Define se o analisador de índice OSS será ativado.	verdadeiro
DependencyCheckossIndexanalyzerurl	URL do serviço Sonatype OSS Index.	https://ossindex.sonatype.org
DependencyCheckossIndexanalyzeruseCache	Define se o analisador de índice OSS irá cache os resultados. Os resultados em cache expiram após 24 horas.	verdadeiro
DependencyCheckossIndexanalyzerUserName	O nome de usuário opcional a ser usado para o serviço Sonatype OSS Index. NOTA: Uma conta com Índice OSS não é necessária.
DependencyCheckossIndexanalyzerPassword	A senha opcional a ser usada para o serviço Sonatype OSS Index.
DependencyCheckossIndexwarnonlyonRemoteerrors	Define se erros remotos do índice OSS (por exemplo, gateway ruim, limite de taxa excedido) resultará em avisos apenas em vez de falhar na execução.	falso
DependencyCheckNexusanalYzeRenabled	Define se o analisador Nexus será usado. Este analisador é substituído pelo analisador central; No entanto, você pode configurar isso para ser executado contra uma instalação do Nexus Pro.	falso
DependencyCheckNexusurl	Define o ponto final do serviço da Web do Nexus Server (exemplo http: //domain.enterprise/service/local/). Se não estiver definido, o analisador Nexus será desativado.	https://repository.sonatype.org/service/local/
DependencyCheckNexUSUSESProxy	Se o proxy definido deve ou não ser usado ao se conectar ao Nexus.	verdadeiro
DependencyCheckNexusUser	O nome de usuário para se autenticar para o ponto final do serviço da Web do Nexus Server. Se não estiver definido, o analisador Nexus usará uma conexão não autenticada.
DependencyCheckNexusPassword	A senha para se autenticar para o ponto final do serviço da Web do Nexus Server. Se não estiver definido, o analisador Nexus usará uma conexão não autenticada.
DependencyCheckPyDistributionAnyzezened	Define se o analisador experimental de distribuição Python será usado. dependencyCheckEnableExperimental deve ser definido como true.	verdadeiro
DependencyCheckPypackAGeanAleSeneNabled	Define se o analisador experimental de pacotes Python será usado. dependencyCheckEnableExperimental deve ser definido como true.	verdadeiro
DependencyCheckRubyGemSanAlyzezened	Define se o analisador experimental Ruby GemSpec será usado. dependencyCheckEnableExperimental deve ser definido como true.	verdadeiro
DependencyCheckoPenssLanAlYeRenabled	Define se o analisador OpenSSL deve ou não ser usado. dependencyCheckEnableExperimental deve ser definido como true.	verdadeiro
DependencyCheckCMakeanalYzeRenabled	Define se o analisador de CMake experimental deve ou não ser usado. dependencyCheckEnableExperimental deve ser definido como true.	verdadeiro
DependencyCheckautoconFanalYzeRenabled	Define se o analisador experimental do AutoConf deve ou não ser usado. dependencyCheckEnableExperimental deve ser definido como true.	verdadeiro
DependencyCheckMavenInstallanalyzeRenabled	Define se o analisador de instalação do MAVEN deve ou não ser usado.	verdadeiro
DependencyCheckPipanalYzeRenabled	Define se o analisador experimental PIP deve ou não ser usado. dependencyCheckEnableExperimental deve ser definido como true.	verdadeiro
DependencyCheckPipFileanAleSeneNabled	Defina se o analisador experimental PIPFile deve ser usado ou não dependencyCheckEnableExperimental deve ser definido como true.	verdadeiro
DependencyCheckPoetryAnalYzeRenabled	Defina se o analisador de poesia experimental deve ou não ser usado dependencyCheckEnableExperimental deve ser definido como true.	verdadeiro
DependencyCheckComposeRanalYzeRenabled	Define se o analisador experimental de arquivos de bloqueio do compositor PHP deve ser ou não. dependencyCheckEnableExperimental deve ser definido como true.	verdadeiro
DependencyCheckCPanFileanAleSeneNabled	Define se o analisador experimental de arquivos PERL CPAN deve ou não ser usado. dependencyCheckEnableExperimental deve ser definido como true.	verdadeiro
DependencyCheckNodeanAlYzeRenabled	Define se o analisador Node.js aposentado deve ou não ser usado.	falso
DependencyCheckNodePackageskipDevDependências	Define se o analisador Node.js irá pular DevDependências.	falso
DependencyCheckNodeAuditanAlYzeRenabled	Define se o analisador de auditoria do nó deve ou não ser usado.	verdadeiro
DependencyCheckNodeAuditskipDevDependências	Define se o analisador de auditoria do nó pulará DevDependências.	falso
DependencyCheckNodeauditanalyzerurl	Define o URL da API de auditoria do nó para o analisador de auditoria do nó. Se não estiver definido, usa URL padrão.	https://registry.npmjs.org/-/npm/v1/security/audits
DependencyCheckNodeAuditanalyzeruseCache	Define se o analisador de auditoria do nó abrigará os resultados do cache. Os resultados em cache expiram após 24 horas.	verdadeiro
DependencyChecknpmcpeanAlyzeRenabled	Define se o analisador de CPE NPM experimental ou não deve ser usado. dependencyCheckEnableExperimental deve ser definido como true.	verdadeiro
DependencyCheckyarNauditanAlyzeRenabled	Define se o analisador de auditoria de fios deve ser usado. Este analisador requer fios e uma conexão com a Internet. Use dependencyCheckNodeAuditSkipDevDependencies para pular dependências dev.	verdadeiro
DependencyCheckPathtoyarn	Define o caminho para o executável do fio.
DependencyCheckpnpmauditanAlYzeReNabled	Define se o analisador de auditoria do PNPM está ativado. Este analisador requer PNPM e uma conexão com a Internet. Use nodeAuditSkipDevDependencies para pular dependências dev.	verdadeiro
DependencyCheckPathTopnpm	Define o caminho para o executável pnpm .
DependencyChecknusPecanalYzeRenabled	Define se o analisador .NET NUGET NUSPEC será ou não.	verdadeiro
DependencyCheckNugetConfanalYzeRenabled	Define se o analisador experimental .NET NUGET Packages.Config será usado. dependencyCheckEnableExperimental deve ser definido como true.	falso
DependencyCheckCocoApodseNabled	Define se o analisador experimental Cocoapods deve ou não ser usado. dependencyCheckEnableExperimental deve ser definido como true.	verdadeiro
DependencyCheckMixAuditanalYzeRenabled	Define se o analisador de auditoria de mix experimental deve ou não ser usado. dependencyCheckEnableExperimental deve ser definido como true.	ter
DependencyCheckMixauditPath	Define o caminho para o executável mix_audit; Somente usado se o analisador de auditoria de mix estiver ativado e os analisadores experimentais estiverem ativados.
DependencyCheckSwiftEnabled	Define se o analisador experimental do Swift Package Manager deve ou não ser usado. dependencyCheckEnableExperimental deve ser definido como true.	verdadeiro
DependencyCheckSwiftPackageSolvedanAlyzeReNabled	Define se o analisador experimental SWIFT resolvido deve ou não ser usado. dependencyCheckEnableExperimental deve ser definido como true.	verdadeiro
DependencyCheckBundLeauditEnabled	Define se o analisador experimental de auditoria de pacote Ruby deve ou não ser usado. dependencyCheckEnableExperimental deve ser definido como true.	verdadeiro
DependencyCheckPathTobundLeaudit	O caminho para a auditoria do pacote de rubi.
DependencyCheckBundLeauditworkingDirectory	Define o caminho para o diretório de trabalho de que o binário de auditoria do pacote Ruby deve ser executado.
DependencyCheckasseMMBLOALIDERENENLADO	Define se o analisador de montagem .NET deve ou não ser usado.	verdadeiro
DependencyCheckmsBuildanalYzeRenabled	Define se o analisador MSBUILD deve ser usado.	verdadeiro
DependencyCheckPathTODOTNETCORE	O caminho para o núcleo .NET para análise de montagem do .NET em sistemas não de janelas.
DependencyCheckPeanalYzeRenabled	Define se o analisador experimental de PE que lê os cabeçalhos PE dos arquivos DLL e EXE deve ser usado. dependencyCheckEnableExperimental deve ser definido como true.	verdadeiro
DependencyCheckRetireJSanalYzeRenabled	Define se o analisador aposentado deve ou não ser usado.	verdadeiro
DependencyCheckRetireJSforceUpdate	Define se o analisador aposentado deve ser atualizado, independentemente da configuração de 'dependência de acheCchautoupDate'.	verdadeiro
DependencyCheckRetireJSanalyzerRepojsurl	Defina o URL para o repositório aposentado. Observe que o nome do arquivo deve ser jsrepository.json	https://raw.githubusercontent.com/retirejs/retire.js/master/repository/jsrepository.json
DependencyCheckRetireJSanalyzerRepouser	Nome de usuário para autenticação para conectar -se ao URL aposentado.
DependencyCheckRetireJSanalyzerRepopassword	Senha para autenticação para conectar -se ao URL aposentado.
DependencyCheckRetireJSanalyzerRepovalIdFor	Defina o intervalo em horas até que a próxima verificação para atualizações de CVEs seja realizada pelo Analisador de aposentados	24
DependencyCheckRetireJSanalyzerFilters	Defina um ou mais filtros para o Analisador de aposentados.
DependencyCheckRetireJSanalyzerFilternOnvulnerable	Define se o analisador aposentado deve filtrar ou não dependências não vulneráveis	falso
DependencyCheckartifactoryanalYzeRenabled	Defina se o analisador de artefactory JFrog será ou não usado	falso
DependencyCheckartifactoryanalyzerurl	O URL do servidor de artefactory.
DependencyCheckartifactoryanalyzeruseProxy	Define se o Artifactory deve ser acessado por meio de um proxy ou não.	falso
DependencyCheckartifactoryanalyzerparallenálise	Define se o analisador de artefactory deve ser executado em paralelo ou não.	verdadeiro
DependencyCheckartifactoryanalyzerUserName	O nome de usuário (usado apenas com token da API) para se conectar à instância do Artifactory.
DependencyCheckartifactoryanalyleZeApitoken	O token da API para se conectar à instância de artefactory. NOTA: Essas configurações não devem ser adicionadas ao seu build.sbt local. Eles podem ser adicionados ao arquivo ~/.sbt/<version>/global.sbt
DependencyCheckartifactoryanalyzerbearterken	O token do portador para se conectar à instância de artefática. NOTA: Essas configurações não devem ser adicionadas ao seu build.sbt local. Eles podem ser adicionados ao arquivo ~/.sbt/<version>/global.sbt
DependencyCheckGolangDepenabled	Define se o analisador experimental de dependência de Golang deve ou não ser usado. dependencyCheckEnableExperimental deve ser definido como true.	verdadeiro
DependencyCheckGolangModenabled	Define se o analisador experimental do módulo Golang deve ou não ser usado. Requer go para ser instalado. dependencyCheckEnableExperimental deve ser definido como true.	verdadeiro
DependencyCheckPathtogo	O caminho para o tempo de execução "Go".

Configuração avançada

As propriedades a seguir podem ser configuradas no plug -in. No entanto, eles são alterados com menos frequência. Uma exceção pode ser as propriedades Cvedurl, que podem ser usadas para hospedar um espelho do NVD em um ambiente corporativo.

Contexto	Descrição	Valor padrão
DependencyCheckCveurlModified	URL para o feed de dados CVE JSON modificado. Ao espelhar o NVD, você deve espelhar os arquivos *.json.gz e os *.meta. Opcional se o seu dependencyCheckCveUrlBase personalizado for apenas uma alteração de nome de domínio.	https://nvd.nist.gov/feeds/json/cve/1.1/nvdcve-1.1-modified.json.gz
DependencyCheckCVeurlBase	URL base para o feed de dados CVE JSON de cada ano, o %D será substituído pelo ano.	https://nvd.nist.gov/feeds/json/cve/1.1/nvdcve-1.1-%D.json.gz
DependencyCheckCveUser	O nome de usuário usado ao se conectar ao dependencyCheckCveUrlBase .
DependencyCheckCvePassword	A senha usada ao se conectar ao dependencyCheckCveUrlBase .
DependencyCheckcvewaittime	O tempo em milissegundos para esperar entre downloads do NVD.	4000
DependencyCheckCVestartYear	O primeiro ano de dados do NVD CVE a download do NVD.	2002
DependencyCheckConnectionTimeout	Define o tempo limite da conexão URL (em milissegundos) usado ao baixar dados externos.
DependencyCheckConnectionReadTimeout	Define o tempo lim de leitura do URL (em milissegundos) usado ao baixar dados externos.
DependencyCheckDatadirectory	Define o diretório de dados para manter o conteúdo do SQL CVES. Isso geralmente não deve ser alterado.	[Jar] dados
DependencyCheckDatabasedRivername	O nome do driver do banco de dados. Exemplo: org.h2.driver.	org.h2.driver
DependencyCheckDatabasedRiverPath	O caminho para o arquivo JAR do driver do banco de dados; Somente usado se o driver não estiver no caminho da classe.
DependencyCheckConnectionstring	A sequência de conexão usada para conectar -se ao banco de dados, o %s será substituído por um nome para o banco de dados	jdbc: h2: arquivo:%s
DependencyCheckDatabaseUser	O nome de usuário usado ao se conectar ao banco de dados.	DCUSER
DependencyCheckDatabasePassword	A senha usada ao conectar ao banco de dados.
DependencyCheckHostedSuPressionsEnabled	Se o arquivo de supressão hospedado será usado.	verdadeiro
DependencyCheckHostedSuPressionsforceUpdate	Se o arquivo de supressões hospedado será atualizado independentemente da configuração dependencyCheckAutoUpdate .	falso
DependencyCheckHostedSuPressionSurl	O URL para uma cópia espelhada do arquivo de supressões hospedado para ambientes com restrição de Internet.	https://jeremylong.github.io/dependencycheck/suppressions/publisedsuppressions.xml
DependencyCheckHostedSuPressionSValidForHours	Define o número de horas para esperar antes de verificar novas atualizações do NVD.	2

Configuração de vários projetos

Use o escopo Global ou ThisBuild se desejar definir uma configuração para todos os projetos. Defina no nível do projeto se você deseja divergir da configuração padrão ou global/thisbuild para um projeto específico.

build.sbt

 Global / dependencyCheckFormats := Seq ( " HTML " , " JSON " )

lazy val root = (project in file( " . " ))
  .aggregate(core)
  .settings(
	libraryDependencies += " com.github.t3hnar " %% " scala-bcrypt " % " 2.6 " % " test " ,
	dependencyCheckSkipTestScope := false
  )

lazy val util = (project in file( " util " ))
  .settings(
    libraryDependencies += " commons-beanutils " % " commons-beanutils " % " 1.9.1 "
  )

lazy val core = project.dependsOn(util)
  .settings(
    libraryDependencies += " org.apache.commons " % " commons-collections4 " % " 4.1 " % " runtime " ,
    dependencyCheckSkip := true
  )

Quase todas as configurações são avaliadas apenas para o projeto em que você está executando a tarefa, não para cada sub-projeto individual. A isenção que é apoiada para trabalhar para projetos aggregate() e dependsOn() é as configurações de pular escopo:

• dependencyCheckSkip
• dependencyCheckSkipTestScope
• dependencyCheckSkipRuntimeScope
• dependencyCheckSkipProvidedScope
• dependencyCheckSkipOptionalScope

Você deve defini -los individualmente para cada projeto, se necessário.

Alterando o nível de log

Adicione o seguinte ao seu arquivo build.sbt para aumentar o nível de log das info padrão para o EG debug .

 logLevel in dependencyCheck := Level.Debug

e adicione -Dlog4j2.level=debug ao executar um cheque:

 sbt -Dlog4j2.level=debug dependencyCheck

Substitua dependencyCheck pelo nome certo da tarefa que você usa para o seu projeto.

Configuração global de plug -in

Se você deseja aplicar alguma configuração padrão para todos os seus projetos SBT, poderá adicioná -los como configurações globais:

1. Adicione o plugin a ~/.sbt/1.0/plugins/sbt-dependency-check.sbt

   addSbtPlugin( " net.vonbuchholtz " % " sbt-dependency-check " % " 5.1.0 " )

2. Adicione as configurações em ~/.sbt/1.0/global.sbt usando seu nome totalmente qualificado (incluindo pacote e estrutura de objeto aninhado). Por exemplo

   net.vonbuchholtz.sbt.dependencycheck. DependencyCheckPlugin .autoImport.dependencyCheckFormat := " All "

Para obter mais informações sobre configurações e plugins globais, verifique a documentação do SBT: https://www.scala-sbt.org/1.x/docs/global-settings.html

Correndo atrás de um proxy

SBT e sbt-dependency-check honram as configurações padrão de proxy HTTP e HTTPS para a JVM.

 sbt -Dhttp.proxyHost=proxy.example.com 
    -Dhttp.proxyPort=3218 
    -Dhttp.proxyUser=username 
    -Dhttp.proxyPassword=password 
    -DnoProxyHosts="localhost|http://www.google.com" 
    dependencyCheck

Desenvolvimento

• O usuário e a senha padrão H2 DB podem ser encontrados no dependencyCheck.properties.
• Para atualizar o esquema ODC DB para o caso de teste SBT Script purgeDeletesDatabase Run Update PUBLIC.PROPERTIES t SET t."VALUE"= '<NEW_VERSION_NUMBER>' WHERE t.ID = 'version'

Liberar

Execute a tarefa release e siga as instruções. Verifique se a liberação chegou ao Maven Central. Leva até duas horas adicionais para serem indexadas para https://search.maven.org.

Licença

Copyright (c) 2016-2022 Alexander Baron v. Buchholtz

Licenciado sob a licença Apache, versão 2.0 (a "licença"); Você não pode usar esse arquivo, exceto em conformidade com a licença. Você pode obter uma cópia da licença em

https://www.apache.org/license/license-2.0

A menos que exigido pela lei aplicável ou acordada por escrito, o software distribuído pela licença é distribuído "como está", sem garantias ou condições de qualquer tipo, expressa ou implícita. Consulte a licença para o idioma específico que rege as permissões e limitações sob a licença.