如何在Play Framework中防止交叉構建注入和其他依賴管理威脅？

Question

我使用播放框架的內置扶養管理下載庫（的HtmlUnit），要做到這一點，我的扶養添加到build.sbt文件像這樣：

libraryDependencies += "net.sourceforge.htmlunit" % "htmlunit" % "2.20"

的扶養然後使用Apache下載常春藤（通過sbt），當我建立項目。

我如何知道下載的依賴性是它所說的，並確保它不包含惡意代碼？

Answer 1

與其他系統完全相同：

1）不要使用自動建築。您可以下載所有庫，驗證它們並將它們放入「lib」文件夾中。

2）使用本地（或內部組織服務器）存儲庫。您需要按照步驟「1」來下載和檢查每個依賴項，但是您將它們放入本地存儲庫並將此存儲庫作爲源存儲庫添加到構建中。

請參閱本文檔的更詳細的解釋https://www.fortify.com/downloads2/public/fortify_attacking_the_build.pdf

這是很老，但看起來是正確的。