当前位置：首页 > 科技 > 软件

开源代码扫描工具 Socket 添加 Go 语言支持

来源：责编：时间：2023-08-09 23:03:33 232观看

导读继日前宣布完成 2000 万美元的 A 轮融资后，开源代码扫描工具 Socket 紧接着宣布新增了对 Go 语言的支持；此前其仅支持 JavaScript 和 Python 语言。“在过去的几个月中，我们观察到针对 Golang 的供应链攻击有所增加。意

继日前宣布完成 2000 万美元的 A 轮融资后，开源代码扫描工具 Socket 紧接着宣布新增了对 Go 语言的支持；此前其仅支持 JavaScript 和 Python 语言。

“在过去的几个月中，我们观察到针对 Golang 的供应链攻击有所增加。意识到这种迫在眉睫的威胁后，我们知道是时候将 Socket 已经验证的主动式防护引入 Go 了。”

Socket 方面还介绍了在添加 Go 支持过程中所面临的挑战：

自定义依赖关系管理：与具有集中式存储库的 npm 或 pip 不同，Go 的 decentralized 方法及其基于 VCS 的依赖项获取可能更难监控。使用 GOPROXY 协议作为 crutch 的工具将错过发布到版本控制系统的最新版本，而这些正是最有可能发起供应链攻击的软件包。
No lockfile：go.sum文件不是 lockfile，而是 Go 抵御 VCS 存储库和模块代理中被劫持的版本标记的最后一道防线。虽然它是保持 Go 生态系统安全的重要组成部分，但仅靠它无法防止 Go 模块中的危险代码。
动态版本控制：Go 模块的伪版本提供了未标记的 commit-based 版本控制，为跟踪依赖项增加了另一层复杂性。
传递依赖关系：监视间接依赖项需要深入了解go.mod 文件和最小版本选择。安全工具需要了解 Go 模块解析方案中的潜在漏洞以及通过传递依赖引入的危险。正如在 npm 生态系统中看到的那样，当安全工具无法正确解析使用的依赖项时，通常会出现混乱和安全漏洞。

目前其已面向所有客户提供了 "early access" 阶段的测试特性和功能。主要特点包括：

全面分析 go.mod 文件，并根据 go.sum 校验和进行验证
支持检测任何给定项目或包的整个依赖项生成列表中的已知漏洞
监控直接和间接依赖关系
模块替换和排除的兼容性检查
包资源管理器和 Socket 网站搜索
在 Socket reports 中列出 Go issues

在接下来的几周内，预计还将推出与 Socket for GitHub 和 Socket for VSCode 集成、增强 Go 模块支持、改进 AI 驱动的 Go 问题检测和零日漏洞监控等内容。

值得一提的是，除了新增对 Go 生态系统的支持外。Socket 还宣布了一个用于在下载前检查开源包是否安全的浏览器扩展，目前可用于 Chrome、Edge、Brave 和任何其他基于 Chromium 的浏览器以及 Firefox；并推出了一个付费增值功能，可以深入研究整个组织的代码库，以便随时查找任何依赖项。

本文链接：http://www.28at.com/showinfo-26-5185-0.html开源代码扫描工具 Socket 添加 Go 语言支持

声明：本网页内容旨在传播知识，若有侵权等问题请及时与本网联系，我们将在第一时间删除处理。邮件：2376512515@qq.com

上一篇：再见pip & conda！管理Python依赖关系的更好的选择：Poetry

下一篇： GET和POST的区别—Java模拟Postman发Post请求

标签：

热门焦点

Redmi Pad评测：红米充满野心的一次尝试

从Note系列到K系列，从蓝牙耳机到笔记本电脑，红米不知不觉之间也已经形成了自己颇有竞争力的产品体系，在中端和次旗舰市场上甚至要比小米新机的表现来得更好，正所谓“大丈夫生居
一文看懂为苹果Vision Pro开发应用程序

译者 | 布加迪审校 | 重楼苹果的Vision Pro是一款混合现实（MR）头戴设备。Vision Pro结合了虚拟现实（VR）和增强现实（AR）的沉浸感。其高分辨率显示屏、先进的传感器和强大的处理能力
从 Pulsar Client 的原理到它的监控面板

背景前段时间业务团队偶尔会碰到一些 Pulsar 使用的问题，比如消息阻塞不消费了、生产者消息发送缓慢等各种问题。虽然我们有个监控页面可以根据 topic 维度查看他的发送状态，
如何正确使用:Has和:Nth-Last-Child

我们可以用CSS检查，以了解一组元素的数量是否小于或等于一个数字。例如，一个拥有三个或更多子项的grid。你可能会想，为什么需要这样做呢？在某些情况下，一个组件或一个布局可能会
慕岩炮轰抖音，百合网今何在？

来源：价值研究所作者：Hernanderz“难道就因为自己的一个产品牛逼了，从客服到总裁，都不愿意正视自己产品和运营上的问题，选择逃避了吗？”这一番话，出自百合网联合创
网红炒股不为了赚钱，那就是耍流氓！

来源：首席商业评论6月26日高调宣布入市，网络名嘴大v胡锡进居然进军了股市。在一次财经媒体峰会上，几个财经圈媒体大佬就“胡锡进炒股是否知道认真报道”展开讨论。有
OPPO、vivo、小米等国内厂商Q2在印度智能手机市场份额依旧高达55%

7月20日消息，据外媒报道，研究机构的报告显示，在全球智能手机出货量同比仍在下滑的大背景下，印度这一有潜力的市场也未能幸免，出货量同比也有下滑，多家厂
AI芯片初创公司Tenstorrent获三星和现代1亿美元投资

Tenstorrent是一家由芯片行业资深人士Jim Keller领导的加拿大初创公司，专注于开发人工智能芯片，该公司周三表示，已经从现代汽车集团和三星投资基金等
iQOO Neo8 Pro即将开售：到手价3099元起安卓性能最强旗舰

5月23日，iQOO如期举行了新品发布会，全新的iQOO Neo8系列也正式与大家见面，包含iQOO Neo8和iQOO Neo8 Pro两个版本，其中标准版搭载高通骁龙8+，而Pro版更