java - 如何防范 Play Framework 中的交叉构建注入(inject)和其他依赖管理威胁？

Question

我正在使用 Play Framework 的内置依赖项管理来下载库 (HTMLUnit)，为此，我将依赖项添加到 build.sbt 文件中，如下所示:

libraryDependency += "net.sourceforge.htmlunit"% "htmlunit"% "2.20"

当我构建项目时，使用 Apache Ivy(通过 sbt)下载依赖项。

我如何知道下载的依赖项如其所言，并确保它不包含恶意代码？

Answer 1

与其他系统完全一样:

1) 不要使用自动建筑。您可以下载所有库，验证它们并将它们放入“lib”文件夹中。

2) 使用本地(或内部组织服务器)存储库。您需要按照步骤“1”下载并检查每个依赖项，但将它们放入本地存储库并将该存储库作为源存储库添加到构建中。

请参阅此文档以获取更详细的说明 https://www.fortify.com/downloads2/public/fortify_attacking_the_build.pdf

虽然很旧，但看起来很正确。