共计 1798 个字符，预计需要花费 5 分钟才能阅读完成。
背景
在平安治理的工作中经常遇到互联网上新公布了一个包的破绽，此时部门须要立即晓得这个包的援用状况。遇到这种状况，平安治理部门往往是采纳发邮件让开发人员进行自查，并要求进行援用。
要求每个研发自查，并不是一个无效的管控形式，首先是开发人员要有足够的自觉性，其次工夫上也不可控，并没有一个无效的伎俩来束缚。还会造成没有援用的项目组，自行排查而浪费时间。
Xray 工具介绍
Xray 能够依据包的状况来检测到依赖的我的项目。当呈现上述问题的时候，能够针对某一个包来反向排查，实现依赖我的项目的精准定位，从而精确告诉到使用者。能够大大晋升排查问题的效率，升高企业平安管控的老本。同时，能够设置包平安品质门限，阻断高危破绽的包进行援用。
Xray 应用的教训分享
应用了 Xray 尽管可能帮咱们节俭很多工作，然而工具还是要配合良好的管理手段以及正确的应用办法。不然也会带来一些问题。
比方一个包到发现破绽，破绽数据公布到公网源，同时破绽数据源再去爬取数据，再同步到咱们本地破绽库，这个过程也是须要肯定的工夫的，所以这个期间可能有一个空档期。如果这个破绽非常紧急，须要立即封闭，那么这个空档期的工夫须要由咱们平安团队来进行严格管控。如果齐全依赖破绽数据库源，这个工夫上做不到一个严格的可控性。
再就是咱们如果设置了一个绝对宽泛的品质门限，比方安全级别为高的依赖包不容许下载，那么随着破绽库的更新，每天可能都会有一些新的高危破绽被引入，有可能呈现昨天开发的时候这个包还没有问题，明天就不能引用了，这样对于开发团队的也是十分不敌对的。咱们在平安治理上要对破绽的危险进行分级：
l 危险极高，要求开发人员立即整改并且 24 小时后阻断下载。
l 危险较高，给开发团队预留一周的工夫进行整改。
l 危险较低，阻断失效能够由平安管控的团队每个月或者每个季度进行定期自动更新。
那么此时咱们就须要对破绽组件进行一个精准的管理策略，将咱们须要屏蔽的破绽组件进行定期更新，并不是单纯的利用破绽库的规定进行组件的屏蔽。
Xray 精准规定配置办法
那么利用 Xray 精准的配置屏蔽规定配置呢？
- 首先，定义一条规定（Policies），比方高危破绽不许下载。
其次，在创立 watches 的时候指定 filter，通过 filter 来限度组件的监测范畴。
最初，如果这个范畴内的组件自身就有高危破绽，则这个组件则会被屏蔽下载，如果这个在以后没有破绽，咱们还能够通过自定义一条高危的破绽数据。
具体操作如下：
- 创立一个 Policies
在 Xray 首页 Policies 菜单页面中进行新建如下图：
（注：policies 在 Xray 中起到设定规定的作用）
填写名字，抉择类型 Security，减少规定，
填写规定信息，名字，抉择级别 High，向下滚动页面抉择阻断下载“block download”。
向下滚动页面抉择阻断下载“block download”。如果要在 CI 构建中也要监控，那么勾选“ail Build”。
- 而后，创立 Watches
在 Xray 首页 Policy 菜单页面中进行新建如下图：
（注：Watches 在 Xray 中起到规定与 Artifactory 中资源关联的作用，也就是设定下面 Policies 的作用域）
填写名字，勾选 Enabled 启动，减少须要监管资源（构建或者仓库）
抉择须要阻断的组件包存在的仓库
在增加资源界面抉择仓库之后应用，Filters 指定破绽组件的全门路，或者组件包名，增加实现资源的同时抉择方才的新增的 policies。
以上配置实现之后，那么这个仓库的只会针对这个包进行规定的监控，当这个包存在破绽时，会被阻断下载。
- 创立自定义破绽
依据下面设置的规定，如果咱们监控的这个组件包存在破绽，则会被阻断下载。那么如果这个组件没有破绽须要怎么做呢？
此时须要应用 Xray 自定义破绽的性能，针对这个包咱们自行添加一个破绽。
在 Xray 的 Components 菜单中搜寻咱们组要阻断的组件名，
进入组件列表，找到咱们须要阻断的组件版本，在右上角 Action，抉择 Assign Custom issue
弹出如下窗口，填写名称与形容后，将安全级别设置为 High，通过这个级别来适配咱们下面创立的 Policies，触发咱们 Policies 的阻断规定。填写完之后，点击保留，之后就能够看到咱们自定义的破绽了。
欢送观看 JFrog杰蛙每周二在线课堂，点击报名：
https://www.bagevent.com/even…
