近日，Sonatype 公布了最新的“2021 年软件供应链情况报告”。该报告数据显示，开源供给、需要和安全漏洞全副呈现出“爆炸性”增长，其中开源供应量减少了 20%，开源需要减少了 73%，开源攻打也随之暴涨 650%。
本次报告，通过对 10 万个生产利用、400 万个由开发者进行的组件迁徙，以及与 Java（Maven Central）、JavaScript（npmjs）、Python（PyPI）和 .Net（nuget）生态系统相干的供给、需要和平安趋势进行了钻研，从而得出了以下一些亮点。
开源供给、需要和安全漏洞均出现“爆炸性”增长
据 Sonatype 报告显示，过来的一年里，开源供给、开源需要和开源安全漏洞的数据，均呈现出了“爆炸性”增长。详细情况如下：
（1）供应量减少了 20%。过来的一年里，四大开源生态系统公布了 6,302,733 个新版本的组件 / 包，推出了 723,570 个全新我的项目，寰球 2700 万开发人员参加其中。截止目前，四大开源生态系统的组件 / 包总数曾经达到了 37,451,682 个。
（2）需要减少了 73%。2021 年，世界各地的开发者将从四大生态系统下载超过 2.2 万亿个开源软件包。
（3）随着开源下载量的减少，开源攻打也随之减少了 650%。2021 年，全世界见证了旨在利用上游开源生态系统弱点的软件供应链攻打呈指数级增长。
（4）生产应用程序仅利用可用开源我的项目的 6%。只管有大量可用的开源我的项目，但目前的利用率仅集中在多数受欢迎的我的项目上。
（5）受欢迎的开源我的项目更容易受到攻打。数据显示，目前 29% 的风行我的项目版本至多蕴含一个已知的安全漏洞；反之，仅 6.5% 的非风行我的项目版本是这样。这一数据表明，平安钻研人员们（blackhat 和 whitehat）更专一于使用率较高的我的项目。
开源破绽的密度按生态系统散布
本次 Sonatype 公布的钻研表明，只管开发人员对开放源码的需要持续呈指数级增长，但理论应用的开放源码总量仍旧非常少。
在目前比拟风行我的项目中，其蕴含的破绽的我的项目远超失常比例。Sonatype 指出，以上这一事实，为我的项目领导者点明了现阶段的重要责任和时机——拥抱智能自动化，这能够让他们在最佳开源供应商的根底上实现标准化，同时帮忙开发人员放弃第三方库和最佳版本的更新。
更新迭代快、受欢迎水平低的开源我的项目更平安
Sonatype 报告数据显示，相比其余一些我的项目，均匀更新工夫（MTTU）更快的开源我的项目被发现有破绽的可能性升高了 1.8 倍，因而这样的我的项目会更平安一些。
另外，我的项目的受欢迎水平，并不能很好地预测该项目标安全性。一般而言，比拟风行的开源我的项目，其所蕴含破绽的可能性是一般我的项目的 2.8 倍。
开发团队间的依赖关系治理实际差别较大
数据显示，在开源软件供应链中，软件开发人员在更新第三方依赖项时，69% 的工夫会做出次优抉择。一般而言，更新版本的我的项目会更好，但并非都是最好的。
因为商业工程团队仅治理了所应用组件的 25%，这使得他们大多数开源的依赖关系比拟过期，且容易受到更大平安危险的影响。
Sonatype 报告指出，自动化可帮忙开发者团队节俭 19.2 万美元 / 年。一家领有 20 个利用程序开发团队的中型企业，在装备了智能自动化零碎的条件下，每年将帮忙企业省下 160 个开发日。
软件供应链治理实际：感知与事实
此次 Sonatype 钻研还表明，开发团队不足结构化的领导，常常在软件供应链治理方面做出次优决策。
个别状况下，人们置信他们在修复缺点部件方面做得很好，并示意他们理解危险所在。但事实上，主观考察反馈与主观数据之间存在脱节。
对于当下软件供应链畛域面临的一些问题，Sonatype 在评论中示意，目前如苹果、高盛和亚马逊等业绩较好的公司，以及最近的 Zoom、Peloton 和 Wayfair 等企业，曾经把握了三个要害竞争劣势：
（1）晓得如何大规模应用开源和第三方翻新
（2）将平安和危险管制集成到软件供应链的多个阶段
（3）比竞争对手更快地公布更高质量的代码
在过来的一年里，人们的生存和工作形式、企业实体和数字供应链的运作形式等，都产生了根本性的变动。数字翻新推动经济倒退的明天，企业开发者们要想躲避那些利用软件供应链带来的网络攻击，或想要为软件供应链治理等方面带来一些翻新，本次 Sonatype 报告或者能带来一些启发。
Sonatype 报告完整版：
https://www.sonatype.com/reso…
参考链接：
https://blog.sonatype.com/202…