Google OSV-Scanner 安全扫描工具安装指南

Google OSV-Scanner 安全扫描工具安装指南

osv-scanner Vulnerability scanner written in Go which uses the data provided by https://osv.dev 项目地址: https://gitcode.com/gh_mirrors/os/osv-scanner

工具简介

OSV-Scanner 是一款由 Google 开发的开源安全扫描工具，专门用于检测项目依赖中的安全问题。它能够对接多个开源安全数据库，为开发者提供全面的依赖安全分析。

二进制安装方式

OSV-Scanner 提供了预编译的二进制文件，支持以下操作系统：

• Linux 系统
• macOS 系统
• Windows 系统

这些二进制文件都符合 SLSA3 安全标准，确保了构建过程的可验证性和安全性。

各平台包管理器安装

Windows 系统

Windows 用户可以通过以下两种方式安装：

1. Scoop 安装（适用于 Scoop 用户）：

   scoop install osv-scanner
   

2. WinGet 安装（Windows 原生包管理器）：

   winget install Google.OSVScanner
   

macOS 系统

Homebrew 用户可以通过以下命令安装：

brew install osv-scanner

Linux 发行版

不同 Linux 发行版的安装方式：

1. Arch Linux：

   pacman -S osv-scanner
   

2. Alpine Linux：

   apk add osv-scanner
   

BSD 系统

1. FreeBSD：

   pkg install osv-scanner
   

2. NetBSD：

   pkg_add osv-scanner
   

3. OpenBSD：

   pkg_add osv-scanner
   

从源码安装

对于需要自定义构建或有特殊需求的用户，可以从源码安装：

go install github.com/google/osv-scanner/v2/cmd/osv-scanner@latest

前提条件：

• 需要安装 Go 1.23.5 或更高版本

从源码构建

如需从源码构建，需要参考项目的构建指南。构建过程需要：

1. 正确配置 Go 开发环境
2. 安装必要的构建工具链
3. 了解基本的 Go 项目构建流程

构建验证

每个正式发布的版本都附带 SLSA 来源证明数据（multiple.intoto.jsonl），可以使用 slsa-verifier 工具验证二进制文件的来源和构建过程。

验证示例：

slsa-verifier verify-artifact ./osv-scanner_1.2.0_linux_amd64 \
  --provenance-path multiple.intoto2.jsonl \
  --source-uri github.com/google/osv-scanner \
  --source-tag v1.2.0

版本兼容性说明

OSV-Scanner 遵循语义化版本控制（SemVer）规范：

1. 相同主版本号（Major）下的所有版本保证 JSON 输出和 CLI 参数的向后兼容性
2. 标记为 experimental 的功能（如 --experimental-call-analysis）可能在次版本号（Minor）更新时被修改或移除

使用建议

1. 对于大多数用户，推荐使用包管理器安装，这是最简单快捷的方式
2. 企业用户或安全敏感环境建议验证构建来源
3. 生产环境应避免使用实验性功能，以免后续版本变更影响工作流程

通过以上安装方式，开发者可以轻松将 OSV-Scanner 集成到开发流程中，及时发现和修复依赖中的安全问题。

osv-scanner Vulnerability scanner written in Go which uses the data provided by https://osv.dev 项目地址: https://gitcode.com/gh_mirrors/os/osv-scanner