OSV-Scanner работает с OSV.dev — агрегированной базой данных с 30+ источниками: GitHub Advisory, NVD, PyPI Advisory, RustSec, Go Vuln DB, Maven Central и другие, то есть через распределенное хранилище данных

Имеет сканирование контейнерных образов и guided remediation, имеют транзитивное сканирование Python через deps.dev API. Теперь

requirements.txt

показывает весь граф включая косвенные зависимости. Лицензия Apache 2.0

# Go install
go install github.com/google/osv-scanner/v2/cmd/osv-scanner@latest

# Docker
docker pull ghcr.io/google/osv-scanner:latest

# Рекурсивное сканирование директории
osv-scanner scan --dir .

# Конкретный lockfile
osv-scanner scan --lockfile ./package-lock.json

# Сканирование контейнерного образа
osv-scanner scan --image myapp:latest

# JSON-вывод для парсинга в CI
osv-scanner scan --dir . --format json > osv-report.json

# HTML интерактивный отчёт
osv-scanner scan --dir . --format html > report.html

# Минимальный набор апгрейдов по severity, глубине зависимости и ROI
osv-scanner fix --dir . --strategy relock

# In-place: автоматически обновляет lockfile
osv-scanner fix --dir . --strategy in-place

# osv-scanner.toml
[[IgnoredVulns]]
id = "GO-2022-0968"
ignoreUntil = "2026-12-01"
reason = "Уязвимость в модуле который не используется в production"

# GitHub Actions
- name: OSV-Scanner
  uses: google/osv-scanner-action@v2
  with:
    scan-args: |-
      --recursive
      --dir=.
      --format=json
      --severity=HIGH,CRITICAL

# GitLab CI
osv-scanner:
  image: ghcr.io/google/osv-scanner:latest
  stage: security
  script:
    - osv-scanner scan --dir . --format json
        --severity CRITICAL,HIGH > osv-report.json
  artifacts:
    paths: [osv-report.json]
  allow_failure: false

# Проверяет вызывается ли уязвимая функция в реальном коде
# Снижает шум: уязвимость есть, но в коде вызова нет
osv-scanner scan --dir . --experimental-call-analysis

- Одна уязвимость - это один ID без дублей
- Guided remediation: минимальный набор апгрейдов с ранжированием по ROI
- Layer-aware сканирование контейнеров: видно какой слой принёс уязвимый пакет
- Call analysis: уязвимость есть, функция не вызывается — не шумит