对于陌陌
MOMO是挚文团体推出的一款基于地理位置的挪动社交利用，是中国当先的开放式社交平台之一。
在MOMO，你能够通过视频、文字、语音、图片来展现本人，基于地理位置发现左近的人，退出左近的群组，建设实在、无效、衰弱的社交关系。
挚文团体的使命愿景是“连贯人，连贯生存”。
和洞态的结缘
为什么在上线前做IAST平安检测？
陌陌是去年十月份开始接触IAST技术，因为陌陌现有的自动化平安测试体系，并不能满足咱们的需要。目前除了IAST技术之外，SAST、DAST这两项技术在陌陌都曾经有了落地的实际，咱们在上线前有针对源码层面的白盒扫描器，也有对线上业务进行扫描的黑盒扫描器，这两项技术都有本人的用武之地，当然也有一些弊病。
白盒扫描器最让人诟病的一点是高误报，在一个企业当中，可能平安人员的占比原本就不高，这种高误报让平安人员没有精力一条一条解决。
黑盒扫描器的试验原理，是对同一个接口发送大量Payload，依据响应来判断是否存在破绽，从实现原理能够看出，第一个弊病就是流量大；第二个弊病，有些接口会把测试用的Payload代入数据库中，这就导致可能会有脏数据的产生。正是因为这两个弊病，导致黑盒扫描器不能笼罩到比拟敏感的业务，就导致它的覆盖率会低一点。
所以咱们就在想有没有一个解决方案，既能够保障破绽的高检出率，而且覆盖面还不错，并且没有脏数据，所以咱们把锋芒瞄准在IAST这项技术。
陌陌为什么抉择洞态？
理解到洞态，最开始是通过朋友圈的口口相传，洞态的开源间接促成了陌陌对IAST技术的落地实际，因为陌陌外部大量应用了自研的RPC框架，这就导致无论咱们抉择哪一款IAST产品，都得本人入手革新来适配咱们的框架。
所以洞态的开源劣势一下就体现进去了，咱们能够间接拿到代码，间接能够开始革新，从而省去多余的沟通环节。
开始因为洞态的开源抉择了它，然而在咱们应用一段时间过后，咱们发现洞态的劣势不仅仅是代码开源。
开源社区很沉闷
洞态开源社区很沉闷，咱们有时候在群里反馈一个bug或者是一个新的个性，洞态团队在下一版本就能够立马修复这个问题，而后帮咱们实现新的性能，这一点我特地喜爱，点赞！
轻Agent重服务端设计
我还特地喜爱洞态轻Agent重服务端的设计，劣势是如果Agent运算量过大，会对业务有一个比拟显著的影响，所以轻Agent重服务端，让咱们在Agent的性能上更好一点。
对于平安人员来说，推动部署会不便一点，如果你的Agent有问题，影响业务的失常运行，业务不会违心进行部署。
洞态在陌陌落地实际
那么洞态是如何在陌陌落地实际的呢？
咱们听听陌陌的平安工程师何纪新是怎么说的。
点击观看视频
↓↓↓
https://www.bilibili.com/vide…
洞态在陌陌曾经利用到哪个阶段？
因为咱们后期花了一些工作在外部RPC框架的适配上，所以咱们的部署工作进展比拟迟缓，因为陌陌平安在整个陌陌公司的属性，咱们推动部署Agent的形式并不是找运维同学批量接入，而是由平安同学对业务团队对接，进行部署，所以咱们的部署工作是比拟麻烦迟缓的，目前部署了几十台。
您感觉洞态哪个性能实用性最高，与陌陌理论业务场景更匹配？
在一段时间的应用下来，我最喜爱的是Agent治理相干的性能，无论是主动降级还是Agent热更新，我都特地喜爱，我感觉这两个性能特地赞。
主动降级性能解决了咱们之前在业务上遇到的，部署Agent导致业务接口超时的问题.
Agent热更新次要是不便了更新Agent，因为咱们改变比拟多，更新频繁，所以我感觉热更新很赞。
对洞态社区的奉献or想法
基于公司业务实现须要，在开发过程中，对洞态做了哪些降级和革新？
陌陌外部应用自研的RPC框架，所以咱们对洞态做了适配，在这个过程中，咱们始终和洞态团队的成员放弃着亲密的沟通，咱们反馈了本人遇到的问题和一些想要的新个性，洞态也都很好的反对了咱们。
在部署洞态IAST这件事上，开发人员是否难以承受导致推动艰难，您是怎么克服的？
在部署的过程当中，可能常常会遇到来自业务方同学的敌对提问，比如说Agent对代码是有侵入性的，出了问题怎么办？
像这种时候，你就得急躁的给他论述，咱们为了Agent的稳定性都做哪些工作，以及如果真的出了问题，有哪些措施能够解决这个问题。
对洞态的期待
依据公司理论利用场景，你最期待洞态IAST将来会开发的新性能是什么？
我始终想要一个性能，就是是否在服务端提供一个开关，就是配置项【是否开机即注册引擎】。当初Agent Jar包只负责装载Core以及其余Jar包，有了这个开关之后，咱们就能够在Agent服务启动的时候，不立马注册Core的以及字节码的重写，而是由平安人员手动进行Core注册以及字节码的重写，这样平安人员对于Agent管制感更强一点。
还有一个比拟期待的性能，如果Agent部署对业务方造成了影响，是否能够间接卸载掉这个Agent，卸载过后还能还原业务方的代码字节码，这就要求咱们Agent在启动的时候要保留原字节码。当然我起初想了一下，就放弃了这个想法，因为可能会带来肯定的性能影响。当然如果洞态的同学有比拟好的解决方案，我还是特地期待这个性能。
更多详情：https://mp.weixin.qq.com/s/eN…
发表回复