安全工程师为啥关注maven依赖
log 4j事件之后，大家开始更加关注开源组件安全漏洞这个事。纷纷引入SCA 软件成分分析工具来识别项目中存在的开源组件和漏洞。
在sca工具扫描之后，会报出一大堆组件，review这个事就是安全团队投入时间来研判了。
对maven项目，工具会报出直接依赖，间接依赖，一层一层又一次，子子孙孙。。。。
那么是否工具报出的所有组件都是产品sbom的一部分呢？哪些子孙可以忽略了。。。
maven依赖机制
项目A 依赖了B组件，用的x版本
项目A 同时依赖了C组件，C组件又依赖了B的Y版本，
请问 A项目依赖了B组件的哪些版本？x or Y or服务器托管 both?
最近原则
当遇到多个版本作为依赖关系时，将选择项目的哪个版本。Maven 选择“最接近的定义”。也就是说，它使用依赖关系树中与项目最接近的依赖项的版本。您始终可以通过在项目的 POM服务器托管 中显式声明版本来保证版本。请注意，如果两个依赖项版本在依赖项树中的深度相同，则第一个声明优先。
A、B 和 C 的依赖关系定义为 A -> B -> C -> D 2.0 和 A -> E -> D 1.0，然后在构建 A 时使用 D 1.0，因为从 A 到 D ，走 E 的路径更短。
如果一定要用D2.0 怎么办呢，构造一条新的路径，让到D2.0的路径最短，强制用D2.0
Excluded dependencies
如果X依赖于Y，Y依赖于Z， X的作者可以把Z排除在外， 用exclusion
下图就是把io.netty排除在外了
所以 加入netty版本有漏洞， 除了升级，也可以排除
option
如果项目Y依赖于项目Z，项目Y的所有者可以使用“Optional”元素将项目Z标记为可选依赖。当项目X依赖于项目Y时，X将只依赖于Y而不依赖于Y的可选依赖项Z。项目X的所有者可以根据自己的选择显式地添加对Z的依赖项。可以理解为默认排除掉了
以上
服务器托管，北京服务器托管，服务器租用 http://www.fwqtg.net
相关推荐: vivado 简单的双端口块RAM示例、真正的双端口块RAM示例
简单的双端口块RAM示例 以下部分提供简单双端口块的VHDL和Verilog编码示例内存 带单时钟的简单双端口块RAM（Verilog） Filename: simple_dual_one_clock.v // Simple Dual-Port Block R…
