google/osv-scanner

O que é?

Recursos principais

• 01Verifica diretórios de código-fonte em busca de arquivos de lock e manifestos compatíveis de várias linguagens.
• 02Verifica imagens de contêiner, incluindo pacotes do sistema operacional e artefatos de linguagem.
• 03Verifica as licenças das dependências com base em uma lista SPDX permitida.
• 04Funciona offline usando uma cópia baixada localmente do banco de dados OSV.
• 05Sugere atualizações de pacotes para projetos npm e Maven por meio de um comando experimental de correção.

Casos de uso

• Verificar as dependências de um projeto em busca de vulnerabilidades conhecidas antes de uma versão ser lançada.
• Analisar imagens de contêiner em um pipeline de CI para detectar imagens base ou pacotes vulneráveis.
• Auditar as licenças das dependências com base na lista permitida de uma organização.
• Fazer verificações em ambientes isolados de redes externas usando uma cópia local do banco de dados de vulnerabilidades.

Início rápido

1. 1

   Instalar com Go (compila a partir do código-fonte)

   go install github.com/google/osv-scanner/v2/cmd/osv-scanner@latest
2. 2

   Verificar um diretório de código-fonte em busca de vulnerabilidades

   osv-scanner scan source -r /path/to/your/dir

Antes de usar

• !O README descreve esta versão como beta V2, portanto as interfaces ainda podem mudar.
• !A correção guiada (o comando fix) é experimental e pode executar scripts do gerenciador de pacotes em projetos não confiáveis.

Em coleções

Tópicos

Perguntas frequentes

O que é osv-scanner?

Uma CLI em Go que verifica as dependências do seu projeto e imagens de contêiner usando o banco de dados de vulnerabilidades OSV para identificar falhas conhecidas. O OSV-Scanner relaciona a lista de dependências de um projeto às vulnerabilidades conhecidas no banco de dados OSV, em osv.dev. Aponte a ferramenta para um diretório de código-fonte e ela encontrará recursivamente arquivos de pacotes compatíveis, como package.json, go.mod e pom.xml, e informará as vulnerabilidades que afetam as versões listadas. Também é possível verificar imagens de contêiner, analisando pacotes do sistema operacional no Alpine, Debian e Ubuntu, além de dependências de Go, Java, Node e Python.

osv-scanner é gratuito? Qual é a licença?

osv-scanner é open source sob a licença Apache-2.0. Confira os termos da licença antes de usá-lo em produtos comerciais.

osv-scanner ainda é mantido?

Manutenção ativa. O último commit de osv-scanner foi em 6 de nov. de 2026.

Para que posso usar osv-scanner?

Verificar as dependências de um projeto em busca de vulnerabilidades conhecidas antes de uma versão ser lançada. Analisar imagens de contêiner em um pipeline de CI para detectar imagens base ou pacotes vulneráveis. Auditar as licenças das dependências com base na lista permitida de uma organização. Fazer verificações em ambientes isolados de redes externas usando uma cópia local do banco de dados de vulnerabilidades.

Como instalar osv-scanner?

Instalar com Go (compila a partir do código-fonte): go install github.com/google/osv-scanner/v2/cmd/osv-scanner@latest Verificar um diretório de código-fonte em busca de vulnerabilidades: osv-scanner scan source -r /path/to/your/dir

Onde consigo osv-scanner?

O código-fonte e as instruções de instalação estão no GitHub: https://github.com/google/osv-scanner