Как я могу защитить от внедрения кросс-сборки и других угроз управления зависимостями в Play Framework?

Question

Я использую встроенные управления зависимостями Play Framework, чтобы загрузить библиотеку (HtmlUnit), чтобы сделать это, я добавить к Зависимости от файла build.sbt так:

libraryDependencies += "net.sourceforge.htmlunit" % "htmlunit" % "2.20"

зависимости затем загружаются с помощью Apache Ivy (через sbt), когда я создаю проект.

Как узнать, что загруженная зависимость является тем, что она говорит, а также гарантировать, что она не содержит вредоносного кода?

Answer 1

Полностью же, как и для других систем:

1) Не используйте автоматическое здание. Вы можете загрузить все библиотеки, проверить их и поместить в папку «lib».

2) Используйте локальный (или внутренний сервер организации) репозиторий. Вам нужно загружать и проверять каждую зависимость, как на шаге «1», но вы помещаете их в локальный репозиторий и добавляете этот репозиторий в качестве исходного репозитория для сборки.

Смотрите этот документ для более подробного объяснения https://www.fortify.com/downloads2/public/fortify_attacking_the_build.pdf

Это довольно старый, но выглядит правильно.