Blackduck扫描显示用旧版本的Jetty Http修改的文件

Question

<plugin>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-maven-plugin</artifactId>
    <version>2.1.0.RELEASE</version>
    <executions>
        <execution>
            <goals>
                <goal>repackage</goal>
            </goals>
            <configuration>
                <classifier>spring-boot</classifier>
                <mainClass>
                  ------------
                </mainClass>
            </configuration>
        </execution>
    </executions>
</plugin>

---

<dependency>
  <groupId>org.eclipse.jetty</groupId>
  <artifactId>jetty-http</artifactId>
  <version>9.4.33.v20201020</version>
</dependency>
<dependency>
  <groupId>org.eclipse.jetty</groupId>
  <artifactId>jetty-security</artifactId>
  <version>9.4.33.v20201020</version>
</dependency>
---

由于我已经交叉验证了9.4.31.V20200723版本的整个maven repo，我没有发现该版本的任何jetty依赖。仍然Blackduck扫描显示旧的jetty版本作为文件修改。

谁能帮助我了解什么是Blackduck中的文件修改匹配类型，以及如何解决这个问题。

Answer 1

摘自https://testing.blackduck.synopsys.com/doc/internal_project_versions/undernanding_project_version_bom_information.htm

文件已修改。扫描发现了与Black Duck KB中的组件的模糊匹配，其中一些归档文件被修改。有时这与组件的前一个或后一个版本相匹配，在进行匹配时Black Duck KB中可能已经丢失了该版本。

您的blackduck数据库似乎很旧，没有引用这些较新的Jetty版本。