如何忽略丢失的nvd文件的Maven依赖项检查失败

丹尼尔·威迪斯(Daniel Widdis)

我今天尝试使用Maven版本插件来发布项目。由于依赖关系检查Maven插件尝试下载2020版本的CVD文件(尚未上传)而失败:

无法下载元文件:https : //nvd.nist.gov/feeds/json/cve/1.1/nvdcve-1.1-2020.meta收到404-找不到资源

仔细阅读NVD数据馈送页面会显示该文件尚未上传。
在此处输入图片说明

显然,我可以等待大约24小时,这个问题可能会消失。但是,我仍然想知道如何覆盖此URL来发布我的项目。我尝试了一些命令行选项,其中包括:

mvn依赖项检查:check -DcveUrlBase = https://nvd.nist.gov/feeds/json/cve/1.1/nvdcve-1.1-2019.json.gz

但是,它们仍然会导致错误。我知道我可以跳过此检查,但还是希望在2020年之前仍然检查所有文件。

该问题建议使用nist-data-mirror插件创建一个本地存储库,但是与等待24小时相比,这似乎有很多开销。

是否有任何命令行或易于还原的pom.xml编辑可让我今天发布项目?

编辑:这已被报告为插件站点上的问题

詹森(V Jansen)

我的建议是创建一个单独的作业来更新数据库,以免检查您的依赖关系,这样,当更新失败时,仍然可以进行检查。这有两个额外的优点,第一,检查依赖项的速度更快,因为您不必每次都建立数据库,第二,减少了对NVD的请求,从而节省了资源。

NVD现在还发布了2020 CVE,因此现在不需要修复/解决方法,但是他创建了一个修复程序https://github.com/jeremylong/DependencyCheck/commit/217da90bd6991125087f0be3a60a60763194194ecf1它将包含在即将发布的版本中,并且将对此进行修复2021年之前的问题,那时我们可能会再次遇到这个问题。

我还建议将建议保留在您还提到的github问题中。当然,这里仍然可以进行讨论。

https://github.com/jeremylong/DependencyCheck/issues/2403

本文收集自互联网,转载请注明来源。

如有侵权,请联系 [email protected] 删除。

编辑于
0

我来说两句

0 条评论
登录 后参与评论

相关文章