開源代碼(ma)能(neng)夠為云環境帶來(lai)靈活性和敏捷性。但是(shi)是(shi)否有任何的快速方法能(neng)夠確保(bao)其(qi)安全性呢?

如今，大多數應用開發人員(yuan)都整合使用來(lai)自于開源開發項目的代碼(ma)來(lai)作為降(jiang)低(di)開發時間和(he)提供整體(ti)代碼(ma)品質的一種方法(fa)。該代碼(ma)可(ke)以是一個實際云套件(jian)(例如OpenStack)或支持工具(從編譯器(qi)到存儲管(guan)理(li)器(qi))和(he)各(ge)種各(ge)樣的應用模塊的一部(bu)分。

但(dan)是使(shi)用(yong)數以百計(ji)可(ke)用(yong)代(dai)(dai)碼(ma)庫作為(wei)開(kai)源(yuan)(yuan)代(dai)(dai)碼(ma)來源(yuan)(yuan)，同時還試(shi)圖挑選出(chu)最合適的(de)(de)開(kai)源(yuan)(yuan)代(dai)(dai)碼(ma)，將是一個可(ke)能為(wei)惡意軟件打開(kai)方(fang)便之門(men)的(de)(de)復雜任(ren)務。除了代(dai)(dai)碼(ma)有被黑的(de)(de)風險，代(dai)(dai)碼(ma)還存(cun)在著可(ke)能的(de)(de)質(zhi)量(liang)問(wen)題。為(wei)了確保用(yong)戶正(zheng)在使(shi)用(yong)著可(ke)靠的(de)(de)和安(an)全的(de)(de)開(kai)源(yuan)(yuan)代(dai)(dai)碼(ma)，應確認相關代(dai)(dai)碼(ma)是精心設計(ji)和歸檔(dang)的(de)(de)，同時為(wei)廣泛使(shi)用(yong)而嚴(yan)格測試(shi)的(de)(de)。

其(qi)(qi)他用戶(hu)的共(gong)識往往是(shi)代(dai)(dai)碼(ma)質(zhi)量問(wen)題(ti)的最佳第一導向(xiang)。開源社區對于這(zhe)類問(wen)題(ti)一向(xiang)是(shi)知無不(bu)言言無不(bu)盡(jin)的，整個社區都愿(yuan)意警告(gao)用戶(hu)遠離低質(zhi)代(dai)(dai)碼(ma)。例如，OpenStack代(dai)(dai)碼(ma)是(shi)經過高度(du)審(shen)查和(he)嚴密控制(zhi)的;因為存在著圍繞(rao)著OpenStack的龐大開發(fa)人員與用戶(hu)群，所以任何問(wen)題(ti)都會很快地浮出水面。而發(fa)現代(dai)(dai)碼(ma)質(zhi)量問(wen)題(ti)的其(qi)(qi)他資源是(shi)Programmers Stack Exchange 或(huo) Stack Overflow。

但(dan)是，對(dui)于惡意軟(ruan)件而(er)言，那是完全(quan)不(bu)同的(de)。有時(shi)，一(yi)個問題可能會在相(xiang)當長的(de)一(yi)段(duan)時(shi)間內處于休眠狀態或未被發現(xian)。例(li)如，一(yi)個流行的(de)開(kai)源框架Ruby on Rails的(de)一(yi)個未被發現(xian)漏洞就存(cun)在了六年。

為了確保用(yong)戶(hu)部署安全的(de)(de)開(kai)源(yuan)代(dai)(dai)(dai)碼，我們應深入到引擎(qing)內部。使用(yong)最被認可(ke)和(he)信任(ren)的(de)(de)開(kai)源(yuan)代(dai)(dai)(dai)碼庫(例如GitHub和(he)OpenStack的(de)(de)影像服(fu)務)作為資源(yuan)。還(huan)有一些應用(yong)商(shang)店提供(gong)了來自于可(ke)信任(ren)供(gong)應商(shang)的(de)(de)簽(qian)名代(dai)(dai)(dai)碼，它們擁有在整(zheng)個代(dai)(dai)(dai)碼生(sheng)命(ming)周期內檢(jian)查代(dai)(dai)(dai)碼簽(qian)名的(de)(de)能力。

其(qi)次，應尋找使用常(chang)用代(dai)碼(ma)(ma)而避免傾向嘗試其(qi)他的代(dai)碼(ma)(ma)，因為這是不同的。所謂(wei) 常(chang)用 意味著有很多測試人員已經運(yun)行過代(dai)碼(ma)(ma)，同時代(dai)碼(ma)(ma)能夠按照規范正(zheng)常(chang)運(yun)行。

但(dan)是，這一切都趕不上Ruby on Rails問題(ti)。使用常用開源代碼跟蹤(zong)開放網絡應用安全項目中的應用程序漏洞列表。

版(ban)(ban)本(ben)(ben)(ben)管(guan)理也是(shi)(shi)很重要的，因為(wei)它(ta)(ta)可以(yi)確(que)保開源代碼(ma)的安全性。除非業內公(gong)認(ren)它(ta)(ta)是(shi)(shi)安全的，否則不要在用(yong)戶(hu)云中實施新的代碼(ma)版(ban)(ban)本(ben)(ben)(ben)。另(ling)一(yi)方面，請務必一(yi)起更(geng)新代碼(ma)版(ban)(ban)本(ben)(ben)(ben)以(yi)確(que)保關閉已知安全漏洞。一(yi)個(ge)版(ban)(ban)本(ben)(ben)(ben)管(guan)理器將有(you)助于版(ban)(ban)本(ben)(ben)(ben)管(guan)理。

在過(guo)去的幾年(nian)中，開源代碼(ma)應(ying)用(yong)已走(zou)過(guo)了漫長的道(dao)路，它已經是如今的支柱(zhu)發展了。它能夠幫助開發團隊更快地(di)實施新的云應(ying)用(yong)，在小心應(ying)用(yong)下這些應(ying)用(yong)的安全性(xing)可媲美(mei)內部代碼(ma)。

文章編輯：CobiNet(寧波)  
本公司專注于電訊配件,銅纜綜合布線系列領域產品研發生產超五類，六類,七類屏蔽網線/屏蔽模塊及相關模塊配件, 我們是萬兆屏蔽模塊，10G屏蔽模塊，屏蔽線生產廠家。

歡迎來電咨詢(xun)0574 88168918,郵箱(xiang)sales@aliance.cn，網址aliance.cn