osv-scanner 离线漏洞库同步完整指南

osv-scanner 离线漏洞库同步完整指南【免费下载链接】osv-scannerVulnerability scanner written in Go which uses the data provided by https://osv.dev项目地址: https://gitcode.com/GitHub_Trending/os/osv-scanner断网或网络受限环境下osv-scanner 的在线查询无法触达 OSV 数据库漏洞扫描会直接停摆。离线模式把漏洞库保存在本地让扫描在内网中完整跑完。本篇带你走完从首次跑通到每日自动同步的全流程。处理断网机器上的扫描中断典型情况有三种CI runner 出不了外网--offline扫描中途报错或提示缺少本地数据库漏洞库几天甚至几周没更新新披露的 CVE 查不出来同步与扫描混在一台机器上网络请求不可预期结果难以复现离线模式的设计目标是把同步与扫描拆成两个独立动作同步只发生在首次准备和定期更新时扫描本身不发出任何网络数据结果稳定、可复现。️ 看懂离线模式的数据库组织--offline让扫描器只查本地漏洞库不下载、不外发任何内容库缺失时直接报错。若你只想让漏洞比对走离线、仍允许传递依赖解析等功能联网改用--offline-vulnerabilities细节见 离线模式文档。数据库位置由环境变量OSV_SCANNER_LOCAL_DB_CACHE_DIRECTORY或--local-db-path参数决定未设置时默认取系统缓存目录Linux 上即~/.cache不可用则退回系统临时目录{local_db_dir}/ osv-scanner/ npm/all.zip PyPI/all.zip … {ecosystem}/all.zip按默认目录展开就是~/.cache/osv-scanner/npm/all.zip这样的路径。每个生态一个独立的all.zip该生态的全部漏洞都装在其中。扫描结束后会产出如下报告漏洞数据完全来自这个本地目录。▶️ 一条命令跑通首次离线扫描默认方案两条命令osv-scanner --offline --download-offline-databases ./your-project osv-scanner --offline ./your-project第一条会根据项目依赖自动判断所需生态如 npm、PyPI并拉取对应漏洞库第二条做纯本地验证。--download-offline-databases仅在离线标志下生效参数定义见 flags 源码上述用法也与 项目 README 中的官方离线示例一致。按需增强只更新指定生态curl -fsSL https://osv-vulnerabilities.storage.googleapis.com/npm/all.zip -o ~/.cache/osv-scanner/npm/all.zip完整生态列表见https://osv-vulnerabilities.storage.googleapis.com/ecosystems.txt多机或内网部署在一台联网机器上跑同步脚本把同一目录经内网镜像分发给各客户端其余机器只读本地文件不产生出口流量一个限制要记住离线模式不支持 commit 级扫描需要该功能的项目保持在线即可。 搭建漏洞库的每日自动同步首次靠手工长期靠定时任务。核心是一段脚本先写入临时文件再原子替换避免同步失败留下半截库#!/usr/bin/env bash DB_DIR${OSV_SCANNER_LOCAL_DB_CACHE_DIRECTORY:-$HOME/.cache}/osv-scanner for eco in npm PyPI Go Maven; do tmp$DB_DIR/$eco/all.zip.tmp mkdir -p $DB_DIR/$eco if curl -fsSL https://osv-vulnerabilities.storage.googleapis.com/$eco/all.zip -o $tmp; then mv $tmp $DB_DIR/$eco/all.zip else echo sync failed: $eco fi done脚本里的eco列表按项目实际用到的生态增减定时任务启用前先手工跑一次脚本确认循环与权限都没问题。Linux用 cron 执行每日同步0 3 * * * /opt/scripts/sync_osv_db.sh /var/log/osv_db_sync.log 21用crontab -e追加上面一行每天凌晨 3 点执行输出落到日志文件便于回查。Windows用任务计划程序执行每日同步schtasks /Create /SC DAILY /ST 03:00 /TN OSVDBSync /TR C:\scripts\sync_osv_db.batbat 内容与脚本逻辑一致curl 可换成 PowerShell 的Invoke-WebRequest。如果希望同一套扫描也进 CI 流水线产出形如下图。 校验数据库同步结果并处理常见错误校验两步运行osv-scanner --offline ./your-project能正常输出结果即库已生效用ls -l查看all.zip的修改时间确认定时任务确实覆写过文件现象原因动作扫描报缺少本地数据库离线模式下从未下载加--download-offline-databases跑一次漏洞结果明显陈旧定时任务未运行或下载失败查日志与all.zip修改时间权限错误缓存目录不可写把OSV_SCANNER_LOCAL_DB_CACHE_DIRECTORY指向可写目录个别生态查不到漏洞只同步了部分生态把缺失生态补进脚本的eco列表commit 级扫描不可用离线模式限制该项目改用在线模式⚙️ 选定同步频率与执行时间默认值每日 03:00 同步对多数团队足够合规要求较严时最短间隔 72 小时重大 CVE 披露后手动立即更新变更新增生态、迁移目录之后用--download-offline-databases再验证一轮【免费下载链接】osv-scannerVulnerability scanner written in Go which uses the data provided by https://osv.dev项目地址: https://gitcode.com/GitHub_Trending/os/osv-scanner创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考