SCA在 得物 DevSecOps 平台上应用

SCA在 得物 DevSecOps 平台上应用。

#############################

免责声明：工具本身并无好坏，希望大家以遵守《网络安全法》相关法律为前提来使用该工具，支持研究学习，切勿用于非法犯罪活动，对于恶意使用该工具造成的损失，和本人及开发者无关。

##############################

SCA（Software Composition Analysis）软件成分分析，通俗的理解就是通过分析软件包含的一些信息和特征来实现对该软件的识别、管理、追踪的技术。

架构
如何自动化检测相关组件风险并且安全左移，让开发尽早感知到风险并禁止高危服务上线，是这边的目标。

其中检测架构如下图：

其中得物安全检测平台目前不仅仅做SCA检测、也在做SAST等检测，尽可能的安全左移，更早的发现问题。

实现
目前得物内部主要有Java、Go、Python、JavaScript等语言，目前对以上四种语言已经做到全部支持（包括Java打包后的Jar文件、Go静态语言编译后的二进制文件）。