8.4. 依存関係セキュリティスキャン

8.4.1. OWASP Dependency-Check

既知のセキュリティ脆弱性（CVE）を含む依存関係を検出するために、OWASP Dependency-Checkを使用します。

<plugin>
  <groupId>org.owasp</groupId>
  <artifactId>dependency-check-maven</artifactId>
  <version>11.1.1</version>
  <configuration>
    <failBuildOnCVSS>7</failBuildOnCVSS>
    <formats>
      <format>HTML</format>
      <format>JSON</format>
    </formats>
  </configuration>
</plugin>

• failBuildOnCVSS: CVSSスコア7以上の脆弱性が検出された場合、ビルドを失敗させます。
• CIパイプラインで定期的に実行します。

mvn dependency-check:check