패키지 정보와 취약점 연결
OSV-Scanner는 프로젝트가 사용하는 패키지 목록을 취약점의 영향 범위와 대조한다. OSV 데이터는 영향받는 버전 정보를 기계가 읽을 수 있는 형태로 제공한다. 소스 코드의 모든 결함을 직접 찾아내는 검사와는 달리 의존성 식별과 알려진 보고의 연결이 핵심이다.
여러 개발 생태계의 입력
다양한 언어와 패키지 관리자를 지원하고 디렉터리의 지원 파일을 재귀적으로 찾아 검사하는 흐름을 제공한다. 컨테이너 이미지의 운영체제 패키지와 언어별 의존성도 검사 대상이 될 수 있다. 실제 검사 가능한 자료는 지원 형식과 도구 버전에 따라 구분해야 한다.
검사 결과와 적용 범위
OSV-Scalibr 라이브러리를 활용해 의존성을 다루며 OSV 데이터베이스의 프런트엔드 역할을 한다. 결과를 검토할 때는 발견된 패키지와 버전, 해당 취약점의 영향 범위를 함께 확인해야 한다. 취약점 보고가 없다는 사실은 아직 알려지지 않은 문제나 검사하지 않은 요소까지 안전하다는 의미가 아니다.
관련 문서
Pip-audit / Grype / Trivy / Dependency-Check / Syft