开源版本是否只支持部分漏洞的检查

[pxzxj]

在dongtai-engine的代码中只能找到一部分漏洞的检查逻辑，像SQL注入、LDAP注入这些漏洞是不是不包含在开源版本中？

[Bidaya0]

部分漏洞的检查逻辑是因为部分漏洞为了避免误报加的临时处理。其他的漏洞按照调用链规则即可检出

[pxzxj]

感谢回复。麻烦再问下是不是只有能对应到代码的漏洞才能通过配置自定义规则来检查，比如SQL注入漏洞最终一定是执行了Jdbc里面的方法。如果一个漏洞没办法对应到代码，而是需要综合判断响应里面的信息包括状态码响应头响应体这些，这种漏洞是不是就需要自行在dongtai-engine里面添加检测代码了

[Bidaya0]

感谢回复。麻烦再问下是不是只有能对应到代码的漏洞才能通过配置自定义规则来检查，比如SQL注入漏洞最终一定是执行了Jdbc里面的方法。如果一个漏洞没办法对应到代码，而是需要综合判断响应里面的信息包括状态码响应头响应体这些，这种漏洞是不是就需要自行在dongtai-engine里面添加检测代码了

是的，如果是需要判断响应信息的话需要再dongtai-engine里添加专门的检测代码，还有一种情况是，如果agent上传的信息不够服务端判断的话，就需要在agent采集特定方法时候进行分析了。

[pxzxj]

谢谢，清楚了。另外提一个优化的点仅供参考哈，漏洞判断可以考虑支持用户自定义表达式，比如提供request、response等几个内置变量，用户可以使用这些变量结合一些逻辑字符来定义自己的表达式，像是目前dongtai-engine里面的Response With X-XSS-Protection Disabled这样的漏洞判断都可以使用表达式来代替，这样扩展性比较好，如果是Java的话可以使用SPEL表达式，Python我就不清楚了

[Bidaya0]

好的，这个建议不错，不过我们目前的重点主要还是在继续优化产品现有漏洞的检测稳定性方面。要等不及的话也欢迎师傅给我们贡献pr。