开源正在吞噬软件世界，SourceClear 在 2020 年公布的调查报告指出开源我的项目已出现指数级增长趋势，2026 年预计超过 3 亿。开源软件（OSS）的呈现简化了软件开发流程，这正是超过 90% 的组织在其应用程序中应用开源组件的起因之一。这也意味着企业代码库中领有的代码正在从闭源自研转向开源。
开源的劣势在哪里？
开源曾经扭转了软件行业。这种增长趋势背地的起因很显著：应用开源组件防止了“反复造轮子”，能够放慢利用程序开发速度，使开发人员更加高效和富有成效。
此外，开源组件为开发人员提供了一种无缝的形式来构建代码并借助开源社区的合作工作进行利用程序开发。这意味着开发团队能够专一于其组织独有的自定义代码，同时应用开源工具和库来进步开发效率。
应用开源组件的危险
随着开源代码的日益遍及，平安危险也随之而来。钻研发现，开源破绽经常出现在间接依赖项（也称为“传递依赖”）中。但问题在于，许多开源组件曾经过期，并且蕴含批改过的或缺失的许可证，因而这些问题在开源我的项目可能蕴含的间接依赖项中特地难以找到。
以下是应用开源组件可能会面临的几个危险：
软件品质 – 应用开源代码模块会减少参加开发人员的可变性，并缩小对应用于第三方代码的 QA 流程的管制。
长期保护 – 如果开源模块没有被保护，软件开发人员须要额定调配工夫和精力来解决破绽。
软件许可 – 开源组件的最终用处决定了开源许可证合规性的类型：permissive 或 copyleft。Permissive license 容许施行和散发企业软件，而 copyleft license 进一步要求应用 OSS 组件构建的软件是收费提供的，从而存在泄露信息的危险。随着大型应用程序的开源依赖项数量的减少，确认模块的版权状态和应用限度变得愈发艰难。
开源软件平安 – 与品质危险相似，如果开发人员没有在开发过程中妥善解决平安问题，应用的开源组件可能会随同平安危险。
如何无效升高开源危险？
为软件项目选择适当的开源组件能够升高与软件品质、许可和版权侵权相干的危险，在此有一些关键问题亟待解决。例如，“企业是否应该将软件细节作为商业秘密进行爱护？”以及“企业在应用组件的形式是否会与开源提供商的协定相冲突？”
为帮忙企业更好地理解上述开源平安危险，并帮忙企业在不影响安全性的状况下利用开源组件的劣势。请参考以下五个平安治理开源组件 Tips。
1. 爱护软件供应链
软件供应链中某个中央引入的破绽对源代码产生了连锁反应。古代应用程序是模块化构建的，它们由互连的外部和内部模块组装而成。因而，在进行残缺的代码开发之前，该当重复自动测试软件供应链中的模块是否存在平安问题。
2. 建设自动化执行策略
增加内部开发的软件模块会带来危险，因而，组织须要调整其危险承受能力，并落实在软件开发生命周期（SDLC）的各个阶段。创立评估开源组件的外部策略是防止增加形成平安威逼的模块的无效办法。
3. 着重定位 SCA
软件成分剖析（SCA）是一种爱护应用开源组件的应用程序的办法。SCA 的重要性在于进步开发团队跟踪和剖析内部组件（如反对库、依赖项、许可证和安全漏洞）的速度。
4. 将 SCA 工具增加到平安测试工具包
SCA 工具的可追溯性可帮忙团队疾速查找和解决许可证和平安问题，使其成为开源策略和现有开发工作流程不可或缺的一部分。
5. 对外部源代码的 Fork 更改
Fork 是开发人员在批改开源代码之前克隆开源代码的过程。Fork 容许跟踪代码更改，但也将原始代码与批改后的代码离开，它还利用了 OSS 的一大劣势：可能为特定应用程序自定义现有模块的源代码。