intellij idea 没有名为 vulndetector 的官方插件，实际可用的是内置 package checker 或第三方 cortex cloud 插件；前者默认启用、仅扫描声明依赖，后者需安装配置、支持多维度云端扫描。
IntelliJ IDEA 本身没有叫 VulnDetector 的官方插件——这个名字在 JetBrains 官方插件市场、OSV 文档、Cortex Cloud 插件说明以及 IDEA Ultimate 功能列表中均未出现。你很可能混淆了名称，实际想用的是 IDEA 内置的 Package Checker（基于 OSV），或第三方插件如 Cortex Cloud。
为什么找不到 VulnDetector 插件
搜索 VulnDetector 会返回零结果，原因很直接：
- JetBrains Marketplace 中无此插件名；
- IntelliJ IDEA 官方文档、安全功能页、插件索引均未收录该名称；
- 常见漏洞扫描能力均由
Package Checker（默认启用）或Cortex Cloud（需手动安装）提供。
如果你是从某篇博客、教程或内部文档看到 VulnDetector，大概率是作者自定义命名、笔误，或是某个私有/已下架插件的旧称。
替代方案：用 Package Checker 检查依赖漏洞
这是 IDEA Ultimate 和 Community（部分功能）默认集成的漏洞检测能力，无需额外安装，只需确认启用即可：
- 按
Ctrl+Alt+S打开设置 →Plugins→ 切换到Installed标签页； - 搜索
Package Checker，确保复选框已勾选（它默认启用，但可能被误禁）； - 打开
pom.xml或build.gradle，存在漏洞的依赖项会被黄色高亮； - 将光标停在高亮依赖上，按
Alt+Enter，可直接选择升级版本或查看 OSV 报告链接。
注意：Package Checker 只分析声明的依赖（如 dependencies 块），不扫描 transitive 依赖的深层调用链——这点和 SCA 工具（如 Cortex Cloud）不同。
Cortex Cloud 插件：更全面的 SCA + IaC + Secrets 检测
如果你需要覆盖依赖漏洞、基础设施模板（Terraform/K8s）、硬编码密钥、许可证合规等多维度扫描，Cortex Cloud 是当前最接近“企业级漏洞检测”的 JetBrains 插件：
- 安装路径：设置 →
Plugins→Marketplace→ 搜索Cortex Cloud→ 安装并重启； - 配置前需先在 Cortex Cloud 平台注册账号，获取 API Token；
- 设置位置：设置 →
Tools→Cortex Cloud→ 填入 Token 和组织 ID； - 启用后，编辑器内会实时标记问题，且支持右键 →
Analyze | Vulnerabilities触发全量扫描。
⚠️ 注意：Cortex Cloud 的漏洞数据库更新频率、规则集粒度、IaC 模板支持范围，都取决于你订阅的平台 tier（Free tier 限制较多）；本地 IDE 不做任何扫描计算，所有分析由云端完成。
容易被忽略的细节
真正影响漏洞检测效果的，往往不是插件名是否“酷炫”，而是三件事：
-
Package Checker默认只检查compile和runtimescope 的依赖，testscope 被忽略——如果测试框架本身有漏洞（比如旧版 JUnit 4.12），它不会报； - 所有插件对
dynamic加载的依赖（如通过URLClassLoader运行时加载的 jar）完全不可见； - 忽略漏洞（Ignore）操作会写入项目级配置文件（
.idea/inspectionProfiles/下），但该配置不自动同步到 Git —— 团队协作时务必确认inspections.xml是否已提交。
