scanoss HTML 报告完整分析指南

一、报告整体模块划分打开scan_result.html页面分为 6 大核心板块按从上到下顺序解读Scan Summary扫描总览Component Breakdown组件清单License Analysis许可证合规分析Vulnerabilities安全漏洞清单File Match Details文件匹配详情Dependencies依赖组件二、分模块详细解读1. Scan Summary 扫描总览快速定位风险这是最优先查看的汇总面板核心指标Scanned Files本次扫描总文件数Matched Components识别到的开源组件数量Unique Licenses项目包含的不同开源许可证种类Vulnerabilities Count漏洞总数分高危 / 中危 / 低危Risk Level 综合风险等级Low/Medium/High/Critical快速判断只要出现 Critical/High 风险必须优先修复。2. Component Breakdown 开源组件清单SBOM 物料清单罗列项目中所有识别出的第三方开源库每条组件包含Component Name Version组件名 版本号如log4j 2.14.0Source Origin组件来源Maven/NPM/Pypi/Git 开源仓库License该组件对应的开源协议MIT/Apache/GPL/AGPL 等Risk Tag风险标签Vulnerable、Copyleft License、Unknown LicenseMatched File Count项目内匹配到该组件的文件数量重点关注两类组件带Vulnerable存在安全漏洞带Copyleft License强传染型开源协议GPL/AGPL商用场景有代码开源合规风险3. License Analysis 许可证合规分析法务 / 合规重点协议分级说明Permissive 宽松协议低风险MIT、Apache-2.0、BSD允许商用、修改、闭源分发仅需保留版权声明Weak Copyleft 弱传染协议中风险LGPL动态链接无强制开源要求静态链接需要开放修改部分代码Strong Copyleft 强传染协议高风险GPLv2/GPLv3/AGPL若项目商用分发软件 / SAAS 服务整个项目代码必须开源Unknown License 未知协议极高风险无法确认组件授权范围存在侵权诉讼风险页面功能页面会统计每种协议的组件数量提供协议原文链接、合规约束说明、企业规避建议。4. Vulnerabilities 安全漏洞安全 / 开发修复重点所有带漏洞的组件完整列表每条漏洞字段CVE ID通用漏洞编号如 CVE-2021-44228 log4j 远程代码执行Severity 危险等级Critical (严重) High (高危) Medium (中危) Low (低危)CVSS Score漏洞评分0~10 分≥7 分为高危Affected Component Version受影响组件及版本Fixed Version修复漏洞的安全版本核心修复依据Vulnerability Description漏洞原理、可利用场景Remediation Suggestion官方修复方案修复优先级Critical/High 漏洞 → 中危漏洞 → 低危漏洞5. File Match Details 文件匹配详情溯源定位定位项目内哪些文件匹配到开源组件解决问题溯源本地文件路径如D:\xxx\src\log4j-core.jar匹配的开源组件名称、版本匹配类型完整文件匹配 / 代码片段片段匹配 作用确认漏洞 / 合规风险具体出现在项目哪个文件精准定位修改位置。6. Dependencies 依赖树展示组件依赖层级A 组件依赖 B 组件B 组件存在漏洞 / 合规问题会清晰展示传递依赖关系。 解决痛点很多漏洞并非直接引入而是第三方依赖间接带入此模块可完整梳理依赖链路。三、标准化分析流程企业合规 安全标准步骤步骤 1查看扫描总览 Summary快速识别高风险查看综合风险等级统计 Critical/High 漏洞数量查看是否存在 GPL/AGPL 未知许可证组件。步骤 2安全漏洞修复处理筛选 Critical、High 等级漏洞对照Fixed Version将组件升级至安全版本升级后重新扫描确认漏洞消失中低危漏洞评估业务场景是否可利用无法规避再升级。步骤 3开源许可证合规梳理强传染协议GPL/AGPL场景 1项目仅内部使用、不对外分发无强制开源风险场景 2商用售卖、对外提供 SAAS 服务必须替换为 MIT/Apache 宽松协议组件或公开全部业务源码。LGPL 弱传染动态链接引用合规无风险静态打包进程序需要开放该组件修改后的代码。Unknown 未知协议必须替换该组件避免知识产权侵权。步骤 4文件溯源确认风险位置针对高风险组件在 File Match 页面查找项目内对应文件确认是直接引入 Jar/NPM 包还是代码片段复制针对性删除 / 升级。步骤 5依赖链路排查传递依赖漏洞若漏洞来自间接依赖可通过两种方式处理升级上层依赖组件间接修复底层漏洞使用依赖管理工具Maven exclude、NPM overrides强制替换漏洞子组件版本。四、常见风险处理示例示例 1Log4j CVE-2021-44228Critical 严重漏洞漏洞等级CriticalCVSS 10 分远程代码执行攻击者可完全控制服务器处理将 log4j 升级至 2.16.0 及以上安全版本验证重新扫描 HTML 报告该 CVE 消失。示例 2项目引入 GPLv3 组件强传染协议风险软件商用分发时整个业务代码强制开源处理替换功能等效的 MIT/Apache 协议开源库。示例 3未知许可证组件风险无明确授权存在版权起诉风险处理更换为协议清晰的替代组件。五、补充实用功能页面搜索框可搜索组件名、CVE 编号、许可证名称快速定位目标风险导出功能HTML 支持导出完整 SBOM 清单用于企业合规归档过滤筛选可按漏洞等级、许可证类型、组件风险标签筛选内容简化排查。