Bazel向け依存関係スキャン

Bazel では、Maven リポジトリ、Git リポジトリ、社内のアーティファクトレジストリなど、さまざまなソースから依存関係をインポートできます。これは通常、次のような依存関係ルールを使用して実現されます http_jar, maven_install .

Aikido は、Bazel 内で定義したターゲットをスキャンしてセキュリティ脆弱性を検出できます。ビルドは不要なため、分析プロセスが高速化されます。

現在サポートしている Bazel ルールの数は限られていますが、順次サポートを拡張しています。サポート対象に追加したい新しい Bazel ルールがあれば、当社チームまでご連絡ください。

サポートされている Bazel ルール

現在、以下の Bazel ルール経由でインポートされた依存関係をスキャンしています:

Bazel ルール	注記	バージョン
java_library	依存関係に関連する属性を解析し、以下の依存関係ルール経由で取り込まれた依存関係を特定します: maven_install	Bazel >= 5
rules_jvm_external	`maven.install(...)` 定義の `lock_file` 属性で参照されるロックファイルを解析します。詳細を見る こちら.	Bazel >= 5