google/osv-scanner

Что это?

Ключевые возможности

• 01Рекурсивно сканирует исходные каталоги и находит поддерживаемые lock-файлы и манифесты для разных языков.
• 02Проверяет образы контейнеров, включая системные пакеты и артефакты языковых экосистем.
• 03Проверяет лицензии зависимостей по разрешённому списку SPDX.
• 04Работает без сети, используя локально загруженную базу OSV.
• 05Предлагает обновления пакетов в проектах npm и Maven с помощью экспериментальной команды fix.

Сценарии использования

• Проверка зависимостей проекта на известные уязвимости перед выпуском.
• Сканирование образов контейнеров в CI-пайплайне для выявления уязвимых базовых образов и пакетов.
• Аудит лицензий зависимостей на соответствие разрешённому списку организации.
• Сканирование в изолированных от сети средах с использованием локальной базы уязвимостей.

Быстрый старт

1. 1

   Установить с помощью Go (сборка из исходного кода)

   go install github.com/google/osv-scanner/v2/cmd/osv-scanner@latest
2. 2

   Проверить каталог с исходным кодом на уязвимости

   osv-scanner scan source -r /path/to/your/dir

Что важно знать

• !В README эта версия описана как бета-версия V2, поэтому интерфейсы ещё могут измениться.
• !Пошаговое исправление (команда fix) — экспериментальная функция; она может запускать скрипты менеджера пакетов в ненадёжных проектах.

В подборках

Темы

Частые вопросы

Что такое osv-scanner?

Go CLI для проверки зависимостей проекта и образов контейнеров по базе уязвимостей OSV. OSV-Scanner сопоставляет список зависимостей проекта с известными уязвимостями из базы OSV на osv.dev. Укажите исходный каталог — утилита рекурсивно найдёт поддерживаемые файлы пакетов, например package.json, go.mod и pom.xml, а затем сообщит об уязвимостях, затрагивающих указанные версии. Также она может проверять образы контейнеров: системные пакеты Alpine, Debian и Ubuntu, а также зависимости для Go, Java, Node и Python.

osv-scanner можно использовать бесплатно? Какая у него лицензия?

osv-scanner распространяется с открытым исходным кодом под лицензией Apache-2.0. Перед использованием в коммерческих продуктах проверьте условия лицензии.

osv-scanner всё ещё поддерживается?

Активно поддерживается. Последний коммит в osv-scanner — 5 нояб. 2026 г..

Для чего можно использовать osv-scanner?

Проверка зависимостей проекта на известные уязвимости перед выпуском. Сканирование образов контейнеров в CI-пайплайне для выявления уязвимых базовых образов и пакетов. Аудит лицензий зависимостей на соответствие разрешённому списку организации. Сканирование в изолированных от сети средах с использованием локальной базы уязвимостей.

Как установить osv-scanner?

Установить с помощью Go (сборка из исходного кода): go install github.com/google/osv-scanner/v2/cmd/osv-scanner@latest Проверить каталог с исходным кодом на уязвимости: osv-scanner scan source -r /path/to/your/dir

Где скачать osv-scanner?

Исходный код и инструкции по установке — на GitHub: https://github.com/google/osv-scanner