位置 on DefectDojo Documentation

位置概览

Mon, 01 Jan 0001 00:00:00 +0000

位置(Locations) 是 DefectDojo Pro 中一项全新的资产建模工具。它们取代了旧有的 端点(Endpoints) 模型,并吸收了此前的 组件(Components)(库)数据,使 DefectDojo 拥有了一种统一的多态方式来描述发现项 位于何处 ——无论是一个 URL、来自 SBOM 的软件依赖项,还是未来可能支持的 云资源 ID、容器镜像 或 代码仓库。

在使用位置功能之前,必须先在您的实例上启用它。您可以自行通过功能开关页面启用位置功能——无需提交支持请求。请注意,位置功能一旦启用,便无法再关闭。

从端点迁移

Mon, 01 Jan 0001 00:00:00 +0000

当您在现有的 DefectDojo Pro 实例上启用位置功能后，已存储为端点的数据需要迁移到新的位置模型中。本页介绍迁移过程、迁移会保留哪些内容，以及迁移完成后旧版端点 API 的行为方式。

请注意，迁移是单向的。目前没有自动化的回滚路径可以从位置反向重新创建端点。

迁移会执行哪些操作

对于每个现有端点，迁移会：

创建一个 URL 位置（或复用已有的），使用该端点的 protocol、userinfo、host、port、path、query 和 fragment 字段。新的 URL 会自动关联到一个父级 Location 对象。

使用 URL

Mon, 01 Jan 0001 00:00:00 +0000

URL 位置在功能上取代了旧版的端点模型。它们存储着您熟悉的相同 URL 结构字段——protocol、host、port、path、query、fragment——并发挥着相同的作用：标识某个 Web 应用发现项位于何处。

本页介绍在日常使用 URL 位置时会发生哪些变化、新增的界面入口，以及应使用哪些 API 端点来代替旧版端点 API。

URL 子类型

每个 URL 都是一个位置。这意味着 URL 同时具备：

结构化的 URL 字段（protocol、user_info、host、port、path、query、fragment，以及用于去重的 hash）。
共享的位置字段（location_type="url"、用于显示和搜索的规范 location_value 字符串、标签、继承标签、元数据，以及指向资产和发现项的引用链接）。

当您创建或上传一个 URL 时，DefectDojo 会将其解析为结构化字段，并在一次事务中同时写入 URL 记录及其父级位置记录。URL 去重采用结构化字段的精确匹配——只有当所有组成部分都匹配时，两个 URL 才会被视为相同，同时会应用标准的默认端口归并规则（http://example.com:80/ 和 http://example.com/ 会解析为同一个 URL）。

使用 SBOM

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojo Pro 将软件库建模为依赖位置。依赖项是一种位置子类型，通过软件包 URL（pURL）进行标识，用于表示单个库或软件包——例如 org.apache.logging.log4j:log4j-core@2.17.0、pypi/django@5.0.2、npm/react@18.2.0 等。

依赖项取代了此前仅能附加在发现项上的组件模型。借助位置功能，库可以独立于任何漏洞而存在——您可以向某个资产上传 SBOM，随后在扫描结果不断导入时，让发现项自动关联到它们所引用的依赖项。

依赖项包含哪些内容

每个依赖项都由一个 pURL 唯一标识，并分解为若干可供搜索和筛选的原子字段：

字段	含义	示例
`purl_type`	库生态系统	`npm`、`pypi`、`maven`、`cargo`、`nuget`、`gem`
`namespace`	供应商或组织	`org.apache.logging`
`name`	库名称	`log4j-core`
`version`	具体版本	`2.17.0`
`qualifiers` (可选)	实现细节	`arch=amd64`
`subpath` (可选)	归档文件或 monorepo 内的路径	`src/lib/foo`
`artifact_hashes` (可选)	指纹	SHA256 校验和
`license_expression` (可选)	SPDX 许可证表达式	`Apache-2.0`、`MIT`
`file_path` (可选)	在项目中发现该库的位置	`package-lock.json`

正是这种原子化的拆分，使得基于 pURL 的搜索变得实用：您可以询问*“django 命名空间下所有版本为 4.x 的 pypi 软件包”*，DefectDojo 无需解析自由文本字符串即可给出答案。

源代码位置

Mon, 01 Jan 0001 00:00:00 +0000

源代码位置将位置模型扩展到了静态分析领域：除了 URL（DAST）和依赖项（SCA）之外，代码位置用于描述某个 SAST 发现项在源代码中的位置——通过其文件路径和行号来标识。

源代码位置需要启用位置功能（测试版）。如需在您的实例上启用位置功能，请联系。

建模内容

每个报告了文件路径的静态发现项都会获得一个代码位置。该位置的规范值为 path/to/file.py:42（如果工具未报告行号，则仅为文件路径）。与所有位置一样，代码位置是共享对象：位于同一文件同一行的两个发现项会引用同一个位置，该位置同时携带按发现项和按资产划分的引用状态。

代码位置由扫描管理：它们通过导入和重新导入创建和更新，而不是手动创建。系统没有“新建源代码位置”操作——扫描器才是代码发现项所在位置的权威数据来源。

在哪里查看

侧边栏中的所有源代码会列出该实例中的每个代码位置，筛选和标签方式与 URL 及依赖项相同。
资产的位置菜单中的查看源代码会将列表范围限定为单个资产。
发现项页面会显示其当前的代码位置，如果该发现项发生过移动，还会显示其位置历史。

变动历史

源代码会不断变动：提交会改变行号，重构会重命名文件。当为某个工具启用了位置漂移匹配后，发生移动的发现项会保留其身份标识，其代码位置引用会记录变动轨迹：