如何發(fā)現(xiàn)并解決開源帶來的風(fēng)險(xiǎn)呢？那就需要對所使用的開源代碼進(jìn)行有效的管理，要實(shí)現(xiàn)有效的管理，有幾個(gè)重要的環(huán)節(jié)必不可少：
一、 增強(qiáng)開源管理意識，制定開源管理策略
所謂謀定而后動(dòng)，在沒有開源管理策略的情況下盲目的使用或參與開源，會有很大的風(fēng)險(xiǎn)。一個(gè)公司在使用開源軟件或者參與開源項(xiàng)目之前，應(yīng)該提高全員的開源管理意識，并制定相應(yīng)的開源管理策略，這些策略至少應(yīng)包括：使用或參與開源的基本原則、對開源軟件的管理方法、對使用開源或參與開源過程中可能出現(xiàn)的問題的解決方法或預(yù)案等。
制定一套開源管理策略，并在該策略的指導(dǎo)下去使用開源軟件，才能更加安全和高效的使用開源軟件，讓開源為公司帶來更大的價(jià)值。另一方面，沒有一套通用的開源管理策略，每個(gè)公司應(yīng)根據(jù)自身的需求和具體情況來制定策略，而且這些策略還需要在具體實(shí)踐中，根據(jù)實(shí)際情況進(jìn)行完善和調(diào)整。
二、 及時(shí)、有效的發(fā)現(xiàn)所使用的開源軟件及其風(fēng)險(xiǎn)
清楚的了解您所使用的開源軟件，是對開源軟件進(jìn)行管理的前提。了解您所使用的開源軟件有兩層含義：一是了解您的軟件代碼中都用到了哪些開源代碼；二是了解這些開源代碼本身的情況及其可能造成的風(fēng)險(xiǎn)。
很多情況會導(dǎo)致公司無法完全了解其軟中究竟引入了哪些開源代碼，比如：代碼的重用、開發(fā)人員隨意從網(wǎng)絡(luò)借鑒來的代碼、外來代碼、有些開源軟件本身嵌套的其它開源代碼、有時(shí)甚至是人為隱瞞了某些開源代碼等等。
要發(fā)現(xiàn)這些潛在的隱含的開源代碼，需要使用專業(yè)的開源代碼檢查工具對軟件代碼進(jìn)行檢查。開源代碼檢測工具的檢測精度非常重要，不僅要能夠準(zhǔn)確的檢測出您的軟件中使用的整個(gè)開源組件，還要能檢測出您的軟件中使用的具體的開源文件、甚至是開源代碼片段。在保證檢測精度的前提下，檢測的速度也很重要，速度太慢會影響到軟件版本的發(fā)布和迭代速度。
僅僅了解到使用了哪些開源還不夠，還要了解這些開源代碼本身是否存在風(fēng)險(xiǎn)，如果使用開源檢測工具，檢測工具要能夠發(fā)現(xiàn)這些開源軟件的風(fēng)險(xiǎn)，包括許可證合規(guī)風(fēng)險(xiǎn)和安全漏洞風(fēng)險(xiǎn)等。對于許可證合規(guī)風(fēng)險(xiǎn)，通過開源軟件名稱及版本等信息，就可以索引到該開源軟件的License，通過分析License 是否符合公司的開源管理策略，就能知道是否存在許可證違規(guī)風(fēng)險(xiǎn)；對于安全漏洞風(fēng)險(xiǎn)，可以通過開源軟件名稱、版本等信息，從安全漏洞庫（比如NVD）中索引出相應(yīng)的安全漏洞，安全漏洞通常是由于軟件中的部分代碼造成的，所以如果能夠在代碼片段級別識別安全漏洞，而不是僅僅從整個(gè)開源組件級別去識別，精確度會更高，也不容易產(chǎn)生誤報(bào)。
三、 讓開源管理成為研發(fā)流程的一部分
對大多數(shù)軟件公司來說，開源審查和管理是一項(xiàng)長期而持續(xù)的工作，進(jìn)行這項(xiàng)工作最有效的方式就是將其融入到日常的研發(fā)流程中。在研發(fā)的早期就引入開源審查和管理，可以從源頭上避免開源帶來的風(fēng)險(xiǎn)，減少“返工”所帶來的高昂成本。
開源管理通常要借助專業(yè)的工具，如何在研發(fā)的過程中有效的使用開源管理工具，而又不對研發(fā)流程和開發(fā)周期造成不良的影響，這是對開源審查和管理工具提出的要求。
另外有需要云服務(wù)器可以了解下創(chuàng)新互聯(lián)cdcxhl.cn，海內(nèi)外云服務(wù)器15元起步，三天無理由+7*72小時(shí)售后在線，公司持有idc許可證，提供“云服務(wù)器、裸金屬服務(wù)器、高防服務(wù)器、香港服務(wù)器、美國服務(wù)器、虛擬主機(jī)、免備案服務(wù)器”等云主機(jī)租用服務(wù)以及企業(yè)上云的綜合解決方案，具有“安全穩(wěn)定、簡單易用、服務(wù)可用性高、性價(jià)比高”等特點(diǎn)與優(yōu)勢，專為企業(yè)上云打造定制，能夠滿足用戶豐富、多元化的應(yīng)用場景需求。
重慶分公司
重慶分公司
