开源漏扫工具：DependencyCheck使用步骤

第一步：下载本地

链接：下载本地 
提取码：YmXz

将需要扫描的jar包放到指定的目录下，在扫描工具的bin下执行这条命令

教程地址：https://www.cnblogs.com/startingpoint-fly/p/18220122

第二步：dependency-check.sh --disableRetireJS --disableNodeJS --project 项目名 --scan 文件地址 -out 输出地址    （我有个问题是直接扫描war，问了同事说要解压用lib包）

示例： 

dependency-check.sh --disableRetireJS --disableNodeJS --project sougou --scan D:\Sogou\WEB-INF\lib -out D:\Sogou\

输入之后会弹出来一个让你选择的打开软件 git

第一次使用会进行插件下载，稍等一会有点慢，十分钟起步（可能因为网络中断下载失败，我看文章说不会主动更新查询了一下相关的文档有些少）

链接1

链接2

链接2提到了一个更新的命令，使用了之后貌似作用不大，可能是我使用问题，我尝试更换一下文件路径之后会重新下载漏洞库（不确定是不是都会，应该都会吧）更换命令行的两个包含路径

然后开始扫描，扫描出问题的话可能是你扫描的jar中有自己手打的包，记得删除一下，再次运行命令行就可以了，一般都会扫描成功