google/osv-scanner

¿Qué es?

Funciones clave

• 01Analiza directorios de código fuente para encontrar archivos de bloqueo y manifiestos compatibles de distintos lenguajes.
• 02Analiza imágenes de contenedor, incluidos los paquetes del sistema operativo y los artefactos de lenguajes.
• 03Comprueba las licencias de las dependencias frente a una lista de SPDX permitidas.
• 04Funciona sin conexión con una copia local de la base de datos OSV.
• 05Sugiere actualizaciones de paquetes para proyectos de npm y Maven mediante un comando experimental de corrección.

Casos de uso

• Comprobar las dependencias de un proyecto en busca de vulnerabilidades conocidas antes de una publicación.
• Analizar imágenes de contenedor en un pipeline de CI para detectar imágenes base o paquetes vulnerables.
• Auditar las licencias de las dependencias frente a la lista de elementos permitidos de una organización.
• Analizar proyectos en entornos aislados mediante una base de datos de vulnerabilidades almacenada localmente.

Inicio rápido

1. 1

   Instalar con Go (compila desde el código fuente)

   go install github.com/google/osv-scanner/v2/cmd/osv-scanner@latest
2. 2

   Analizar un directorio de código fuente en busca de vulnerabilidades

   osv-scanner scan source -r /path/to/your/dir

Antes de usarlo

• !El README lo describe como la versión beta V2, por lo que las interfaces aún pueden cambiar.
• !La corrección guiada (el comando fix) es experimental y puede ejecutar scripts del gestor de paquetes en proyectos que no sean de confianza.

En colecciones

Temas

Preguntas frecuentes

¿Qué es osv-scanner?

CLI en Go que analiza las dependencias de un proyecto y las imágenes de contenedor frente a la base de datos de vulnerabilidades OSV para detectar vulnerabilidades conocidas. OSV-Scanner relaciona la lista de dependencias de un proyecto con las vulnerabilidades conocidas de la base de datos OSV, disponible en osv.dev. Indícale un directorio de código fuente y buscará recursivamente archivos de paquetes compatibles, como package.json, go.mod y pom.xml; después, informará de las vulnerabilidades que afectan a las versiones indicadas. También puede analizar imágenes de contenedor y comprobar paquetes del sistema operativo en Alpine, Debian y Ubuntu, además de dependencias de Go, Java, Node y Python.

¿osv-scanner es gratuito? ¿Qué licencia tiene?

osv-scanner es open source bajo la licencia Apache-2.0. Revisa los términos de la licencia antes de usarlo en productos comerciales.

¿osv-scanner sigue mantenido?

Mantenimiento activo. El último commit de osv-scanner fue el 5 nov 2026.

¿Para qué puedo usar osv-scanner?

Comprobar las dependencias de un proyecto en busca de vulnerabilidades conocidas antes de una publicación. Analizar imágenes de contenedor en un pipeline de CI para detectar imágenes base o paquetes vulnerables. Auditar las licencias de las dependencias frente a la lista de elementos permitidos de una organización. Analizar proyectos en entornos aislados mediante una base de datos de vulnerabilidades almacenada localmente.

¿Cómo se instala osv-scanner?

Instalar con Go (compila desde el código fuente): go install github.com/google/osv-scanner/v2/cmd/osv-scanner@latest Analizar un directorio de código fuente en busca de vulnerabilidades: osv-scanner scan source -r /path/to/your/dir

¿Dónde consigo osv-scanner?

El código fuente y las instrucciones de instalación están en GitHub: https://github.com/google/osv-scanner