google/osv-scanner

어떤 프로젝트인가요?

핵심 기능

• 01여러 언어의 지원되는 lockfile과 매니페스트를 찾아 소스 디렉터리를 스캔합니다.
• 02운영체제 패키지와 언어별 아티팩트를 포함해 컨테이너 이미지를 스캔합니다.
• 03허용된 SPDX 목록을 기준으로 의존성 라이선스를 검사합니다.
• 04로컬에 다운로드한 OSV 데이터베이스를 사용해 오프라인으로 실행합니다.
• 05실험 단계인 fix 명령으로 npm 및 Maven 프로젝트의 패키지 업그레이드를 제안합니다.

활용 사례

• 릴리스 전에 프로젝트 의존성에 알려진 취약점이 있는지 확인합니다.
• CI 파이프라인에서 컨테이너 이미지를 스캔해 취약한 베이스 이미지나 패키지를 찾아냅니다.
• 조직에서 허용한 목록을 기준으로 의존성 라이선스를 감사합니다.
• 로컬에 저장한 취약점 데이터베이스를 사용해 에어갭 환경에서 스캔합니다.

빠른 시작

1. 1

   Go로 설치(소스에서 빌드)

   go install github.com/google/osv-scanner/v2/cmd/osv-scanner@latest
2. 2

   소스 디렉터리에서 취약점 스캔

   osv-scanner scan source -r /path/to/your/dir

사용 전 알아둘 점

• !README에서 V2 베타 버전으로 설명하고 있으므로 인터페이스가 계속 변경될 수 있습니다.
• !가이드형 수정(fix 명령)은 실험적 기능이며, 신뢰할 수 없는 프로젝트에서 패키지 관리자 스크립트를 실행할 수 있습니다.

포함된 컬렉션

토픽

자주 묻는 질문

osv-scanner은(는) 무엇인가요?

프로젝트 의존성과 컨테이너 이미지를 OSV 취약점 데이터베이스와 대조해 알려진 취약점을 보고하는 Go CLI입니다. OSV-Scanner는 프로젝트의 의존성 목록을 osv.dev의 OSV 데이터베이스에 등록된 알려진 취약점과 대조합니다. 소스 디렉터리를 지정하면 package.json, go.mod, pom.xml 같은 지원되는 패키지 파일을 재귀적으로 찾아, 목록에 포함된 버전에 영향을 주는 취약점을 보고합니다. 컨테이너 이미지도 스캔할 수 있으며, Alpine, Debian, Ubuntu의 운영체제 패키지와 Go, Java, Node, Python의 언어별 의존성을 확인합니다.

osv-scanner은(는) 무료로 사용할 수 있나요? 라이선스는 무엇인가요?

osv-scanner은(는) Apache-2.0 라이선스의 오픈소스입니다. 상업용 제품에 사용하기 전에 라이선스 조건을 확인하세요.

osv-scanner은(는) 아직 유지보수되고 있나요?

활발히 유지보수 중. osv-scanner의 마지막 커밋은 2026년 11월 5일입니다.

osv-scanner은(는) 어디에 사용할 수 있나요?

릴리스 전에 프로젝트 의존성에 알려진 취약점이 있는지 확인합니다. CI 파이프라인에서 컨테이너 이미지를 스캔해 취약한 베이스 이미지나 패키지를 찾아냅니다. 조직에서 허용한 목록을 기준으로 의존성 라이선스를 감사합니다. 로컬에 저장한 취약점 데이터베이스를 사용해 에어갭 환경에서 스캔합니다.

osv-scanner는 어떻게 설치하나요?

Go로 설치(소스에서 빌드): go install github.com/google/osv-scanner/v2/cmd/osv-scanner@latest 소스 디렉터리에서 취약점 스캔: osv-scanner scan source -r /path/to/your/dir

osv-scanner은(는) 어디서 받을 수 있나요?

소스 코드와 설치 방법은 GitHub에 있습니다: https://github.com/google/osv-scanner