Repolode
提交项目
DependencyTrack

DependencyTrack/dependency-track

基于 SBOM 的组件分析平台，用于跟踪组织各项目中的软件依赖及其已知漏洞。

可替代:SnykBlack Duck

在 GitHub 查看官网
Star
4,419
Fork
852
未关闭 Issue
877
最近提交
前天

这是什么？

Dependency-Track 是 OWASP 旗下的组件分析平台，帮助组织识别并降低软件供应链中的风险。它以软件物料清单（SBOM）为基础，记录每个应用包含哪些组件及其版本。

平台会持续监控已登记的组件，在有新的漏洞信息出现时，及时提示依赖中存在的风险，而不只是在构建阶段检查一次。项目使用 Java 开发，前端位于独立仓库，并提供 Docker 镜像和 Helm Chart 用于部署。

项目提供基于 Docker Compose 的快速入门教程和用户文档。当前主线为 v5，v4 已进入维护模式。

核心功能

  • 01导入 SBOM 文件，按项目跟踪组件及版本。
  • 02持续监控已跟踪的依赖，发现新公开的漏洞。
  • 03支持通过 Docker 镜像和 Helm Chart 部署。
  • 04提供基于 Docker Compose 的本地快速启动方式。

适用场景

  • 跟踪多个内部应用的第三方依赖风险。
  • 为软件供应链安全计划增加漏洞持续监控。
  • 基于 SBOM 审查已发布软件的组件清单。

快速上手

  1. 1

    按照快速入门教程，使用 Docker Compose 运行本地实例

使用前须知

  • README 中的快速入门依赖 Docker Compose，具体设置细节需参考外部文档。
  • v4 处于维护模式，v5 为较新版本，从 v4 迁移可能需要一定工作量。

标签

#sbom#software-composition-analysis#vulnerability-detection#supply-chain-security#appsec#devsecops#bill-of-materials#bom#component-analysis#cyclonedx

常见问题

dependency-track 是什么？
基于 SBOM 的组件分析平台，用于跟踪组织各项目中的软件依赖及其已知漏洞。 Dependency-Track 是 OWASP 旗下的组件分析平台，帮助组织识别并降低软件供应链中的风险。它以软件物料清单（SBOM）为基础，记录每个应用包含哪些组件及其版本。
dependency-track 可以免费使用吗？用的什么许可证？
dependency-track 以 Apache-2.0 许可证开源。用于商业产品前，请先确认许可证条款。
dependency-track 还在维护吗？
活跃维护中。dependency-track 最近一次提交是在 2026年11月5日。
dependency-track 适合用来做什么？
跟踪多个内部应用的第三方依赖风险。 为软件供应链安全计划增加漏洞持续监控。 基于 SBOM 审查已发布软件的组件清单。
dependency-track 怎么安装和运行？
按照快速入门教程，使用 Docker Compose 运行本地实例
在哪里获取 dependency-track？
源代码和安装说明在 GitHub 上：https://github.com/DependencyTrack/dependency-track

概要由 AI 根据项目 README 生成；GitHub 数据每日更新。

相关项目