DefectDojo 文档 on DefectDojo Documentation

关于连接器

Tue, 14 Jul 2026 00:00:00 +0000

注意：连接器是 DefectDojo Pro 专属功能。

连接器（Connectors） 是 DefectDojo Pro UI 中的统一入口，用于管理 DefectDojo 与之通信的所有工具（无论数据流向哪个方向）。它合并了此前在不同位置分别配置的两项功能：

上游连接器（Upstream Connectors）（原名 API Connectors）从您的扫描器和安全工具中拉取发现项和资产清单。
下游连接器（Downstream Connectors）（原名 Integrations）将发现项推送到您的问题跟踪系统和工单系统。

如果将 DefectDojo 视为您安全数据的枢纽，那么上游连接器就是数据流入的方式，下游连接器则是修复工作流出的方式。

功能对比

Tue, 02 Feb 2021 20:46:29 +0100

DefectDojo 开源版是一个强大的免费漏洞管理平台，具备核心导入、去重、基础仪表板、API 访问和基本报告功能——非常适合较小的团队，或希望自行托管并借助社区资源扩展该工具的用户。

DefectDojo Pro 在此基础上进一步构建了面向企业的功能，例如高级仪表板与报告、通过规则引擎实现的自动化与脚本编写、与众多安全工具对接的连接器、优化的导入工作流、统一的 SOC 与 AppSec 支持、改进的 UI/UX、AI 集成、增强的安全性（SSO/MFA）以及高级支持选项。

Feature / Capability	DefectDojo Open-Source	DefectDojo Pro
核心漏洞管理	✔️ 从 500 多种安全工具导入、跟踪并管理发现项	✔️ 涵盖开源版全部功能，并针对规模化场景进行了优化
发现项去重	✔️ 标准去重	✔️ 高级、可配置的去重
REST API	✔️ 完整 REST API	✔️ 完整 REST API
身份验证与访问控制	✔️ 本地身份验证与基础 RBAC	✔️ SSO（SAML/OAuth）、MFA、高级 RBAC
用户界面	✔️ 社区版 UI	✔️ 现代化 Pro UI，性能有所提升
仪表板与报告	✔️ 基础仪表板与报告	✔️ 高级、可自定义的仪表板与高管报告
自动化与工作流	❌ 不包含	✔️ 规则引擎与自动化工作流
导入增强	❌ 仅支持标准导入	✔️ 后台导入、智能上传、通用解析器、CLI 上传
工具集成	❌ 手动/基于 API	✔️ 内置上游连接器，对接主流 AppSec 与云工具
Jira 集成	✔️ 已包含	✔️ 已包含
项目管理集成	❌ 不包含	✔️ 下游连接器，对接 Jira、Azure DevOps、GitHub、GitLab、ServiceNow、Bitbucket、Shortcut、PagerDuty、Zendesk、ServiceDesk Plus 和 Freshservice
发现项增强	❌ 不包含	✔️ 自动 KEV、EPSS 评分与勒索软件跟踪
SOC 与 AppSec 统一	❌ 仅面向 AppSec	✔️ 统一的 AppSec 与 SOC 发现项
AI 与下一代功能	❌ 不包含	✔️ AI 辅助工作流、报告与 MCP 支持
支持	社区支持（GitHub、Slack、论坛）	具有 SLA 保障的商业支持
托管选项	自行托管	自行托管或云托管

关于 DefectDojo

Tue, 02 Feb 2021 20:46:29 +0100

DefectDojo, Inc. 及开源贡献者共同维护本文档，以支持 DefectDojo 的社区版和 Pro 版。

什么是 DefectDojo？

DefectDojo 是一个开发者安全运营（DevSecOps）平台。DefectDojo 通过充当您整套安全工具的自动聚合器来简化 DevSecOps 流程，让您可以轻松组织安全工作，并向其他利益相关者报告组织的安全态势。

尽管安全流程自动化和集成开发流水线是 DefectDojo 的最终目标，但从本质上说，本软件是一个面向安全漏洞的缺陷跟踪系统，用于摄取、组织并标准化来自众多安全工具的报告。

🌐 通用解析器

Mon, 01 Jan 0001 00:00:00 +0000

注意：通用解析器仅在 DefectDojo Pro 中提供。

通用解析器在每个 DefectDojo Pro 实例中都已启用；无需进行任何操作即可使用。有关更多信息，请参阅我们的发布演示。

关于通用解析器

DefectDojo 拥有一个庞大且定期更新的解析器库，用于帮助安全团队摄取数据。但是，有时用户使用的工具并不受这些解析器支持，或者他们可能希望以不同于现有解析器的方式将数据导入 DefectDojo 模型。

DefectDojo 的通用解析器旨在为使用不受支持的报告类型的用户提供一条前进之路，以导入和映射任何 JSON、CSV 或 XML 文件。

CVSS 版本支持

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojo 支持在发现项上使用 CVSS 元数据，包括 CVSS 4.0 标准。本页介绍哪些 CVSS 版本会被端到端存储、您可以在何处录入或查看它们，以及解析器方面的覆盖情况。

DefectDojo 存储的内容

发现项可以携带以下 CVSS 数据：

版本	是否存储向量	是否存储分数	UI 向量构建器与计算器
CVSS v4.0	✅	✅	✅（专业版 UI）
CVSS v3（v3.0 / v3.1）	✅	✅	✅（专业版 UI）
CVSS v2	通过发现项的严重程度字段隐式存储；不存储单独的 v2 向量字段	不适用	不适用

每个发现项在底层模型上都有专门的 cvssv3 / cvssv3_score 以及 cvssv4 / cvssv4_score 字段。这些字段既可以通过 API 访问，也可以通过 UI 访问。

DefectDojo 主仪表板

Mon, 01 Jan 0001 00:00:00 +0000

仪表板很可能是您打开 DefectDojo 时看到的第一个页面。它汇总了您团队的整体表现，并提供跟踪工具，用于监控您的漏洞跟踪环境中的特定领域。

💡 DefectDojo Pro： 在 DefectDojo Pro 中，首页是一个完全可自定义的仪表板——您可以通过小组件自行构建并排列布局，而不是使用下文所述的固定布局。有关概念说明和界面演示，请参阅**可自定义仪表板**。本页其余部分介绍的是开源版的主仪表板。

仪表板组件

开源版仪表板通过以下内置组件，为您提供安全态势的高层级概览：

摘要卡片

仪表板顶部一行显示四张摘要卡片，让您一目了然地了解活动概况：

活动测试活动 — 所有产品中当前处于开放状态的测试活动总数。
过去 7 天发现项 — 过去一周内新创建的发现项。
过去 7 天已结项 — 近期已解决的发现项。
过去 7 天已接受 — 近期风险已接受的发现项。

每张卡片都直接链接到相应的筛选列表，您可以一键深入查看详情。

Jira（旧版）

Mon, 01 Jan 0001 00:00:00 +0000

本页介绍的是旧版 Jira 集成。 这里所述的按产品配置的 Jira 集成已被 Jira 下游连接器 取代；该连接器目前已在每个 DefectDojo Pro 实例上全面提供，是将发现项推送到 Jira 的推荐方式。因此，在 Pro 侧边栏中，Connect > Jira 带有 LEGACY 徽章——详见菜单徽章。

SAML 配置

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojo Pro 支持通过 Enterprise Settings 界面进行 SAML 身份验证。开源版 DefectDojo 不包含单点登录（SSO）功能——有关开源版的访问控制，请参阅已授权用户。

ACS URL (Assertion Consumer Service)

您的身份提供程序需要知道在用户完成身份验证后应将 SAML 响应 POST 到哪里。DefectDojo 的 ACS URL 为：

Sensei

Mon, 01 Jan 0001 00:00:00 +0000

注意：Sensei 仅是 DefectDojo Pro 版专属功能。

Sensei 是 DefectDojo 面向源代码代码库、由 AI 驱动的扫描并修复功能，仅在 DefectDojo Pro 中提供，并不属于开源版的一部分。

借助 Sensei，DefectDojo Pro 可以：

安装

Mon, 01 Jan 0001 00:00:00 +0000

Docker 镜像变体

DefectDojo 发布多种变体的 Docker 镜像：

	AMD64	ARM64
Debian	✅ 受支持	⚠️ 已进行单元测试
Alpine	⚠️ 社区维护	⚠️ 社区维护

AMD64 上的 Debian 是官方支持并经过测试的配置。所有 CI 测试（单元测试、集成测试和性能测试）都针对此组合运行。

DefectDojo 文档 on DefectDojo Documentation

关于连接器

功能对比

关于 DefectDojo

什么是 DefectDojo？

🌐 通用解析器

关于通用解析器

CVSS 版本支持

DefectDojo 存储的内容

DefectDojo 主仪表板

仪表板组件

摘要卡片

Jira（旧版）

SAML 配置

ACS URL (Assertion Consumer Service)

Sensei

安装

推荐选项

Docker Compose

SaaS（包含支持并有助于项目发展）

Docker 镜像变体