制品一上传就被当成「扫过了」——这是最常见的误会。真正要拦住的是：**有风险的版本还能不能被下游 `pull` / `install` / `restore`**，以及许可证策略有没有人执行。只在 CI 打一份报告，或只开扫描不开阻断，都拦不住三个月前已入库、仍被全公司引用的旧包。

本文站在 **DevOps / 安全接口人** 视角：先把 **AngusRepo × AngusSecurity** 接上，再在 Repo 配扫描策略与下载门禁。

> **产品边界（务必对齐现网）：**  
> - AngusRepo = **仓库内治理**（策略、漏洞台、下载执法），不是供应链安全平台。  
> - **漏洞 / 深度 SCA 由 AngusSecurity 执行**（默认引擎含 Trivy）；未对接时通常**不会创建漏洞扫描任务**，仅可做本地元数据许可证分析。  
> - 推送/上传**默认不自动检查**；「未通过时拒绝下载」**默认关**。「暂无漏洞」≠ 安全。  
> - 部分旧文档仍写「内置 Trivy」——以控制台「安全对接」状态与联调说明为准。
![Repo 建任务，Security 跑引擎，回调写回后由 Repo 拒绝下载](https://developer.qcloudimg.com/http-save/yehe-1099973/5c1cdcfecf4e44b1ac18d98e6aee963a.png)

## 1. 视角：两盏灯，不要当成一盏

| 灯 | 在哪亮 | 含义 |
| --- | --- | --- |
| **Finding / Job** | AngusSecurity「检查」 | 引擎是否跑完、CVE/许可证明细、跨仓趋势 |
| **下载门禁** | AngusRepo 协议路径 | 未通过时隔离 → 客户端 403；文件仍在仓里 |

入库链路里：**Repo 建任务并最终执法**；**Security 跑引擎并回调写回**。组织级名单、告警、报告以 Security 为主配置面；Repo 带来的分发场景与许可证门禁档位，在「由 Repo 发起的检查」里优先生效，**允许/禁止名单仍用 Security**。

| 能力 | 未对接 Security | 已对接（平台深度扫描启用） |
| --- | --- | --- |
| 依赖/制品漏洞（SCA） | 不创建漏洞任务 | Security 执行并回写 Repo 漏洞台 |
| 许可证合规 | 本地元数据分析（有限） | 平台深度扫描 + 回写；名单在 Security |
| 代码安全 / 密钥检查 | 不出结果 | 策略可选；**容器仓不提供**；包内无源码记未执行 |
| 「在 AngusSecurity 查看」 | 无 Job 深链 | 制品详情可跳转 Security 任务 |
| 「未通过时拒绝下载」 | 仍可配置，但缺漏洞结果难形成有效门禁 | 策略命中后由 **Repo** 隔离并拦下载 |

## 2. 集成数据流

```text
publish → HOSTED（制品已落盘）
  → Repo：策略触发（推送自动 / 定时 / 立即扫描）→ 创建 ScanTask
  → 入站调用 Security（接入应用 + clientSecret）
  → Security：ScanJob（ARTIFACT / IMAGE + sca 等）→ 取件扫描
  → 回调 Repo（Finding 预览 / 门禁信号）→ 可选拉全量 Finding
  → Repo：按策略判定是否 quarantined
  → 客户端 pull：仍由 Repo 下载门禁拦截（不是 Security 拦协议）
```

**策略可绑对象：** HOSTED / PROXY ✅；**GROUP / Raw ❌**（门禁挂在成员 HOSTED 上）。

和 CI 的分工：CI 管本次构建即时反馈；制品侧管**已发布坐标**的反查、统一阻断与跨团队一致策略。

## 3. 接上并打开下载门禁

### 在 Repo 对接 AngusSecurity

路径：**系统设置 → 安全对接**（需管理员）。

| 字段（控制台） | 说明 |
| --- | --- |
| 启用平台深度扫描 | 关闭后仅保留本地元数据许可证能力，漏洞任务不再创建 |
| AngusSecurity 根地址 | Security API 根 |
| AngusRepo 对外根地址 | 跨机必填：供 Security 下载制品与回调 |
| 接入密钥 clientSecret | **一键接入**下发；界面掩码显示，丢失请轮换 |
| 控制台深链根地址 | 「在 AngusSecurity 查看」用 |

操作建议：

1. 填好两端根地址 → **测试连接并开通集成**（一键接入）。  
2. 在 Security **管理 → 设置 → 集成** 确认接入应用（Repo）为 ACTIVE。  
3. 探活失败时状态会降级：**新漏洞任务不再创建**，先修网络/密钥再扫。  
4. `clientSecret` 勿截图进工单；轮换走控制台「轮换凭证」。

Community 等版本若无「一键接入」按钮，以你部署版控制台为准，字段含义不变。更细的 HMAC/回调契约见联动文与官方 API 文档。

### 扫描策略先出报告，不阻断

路径：**安全 → 策略 → 创建**（或仓库详情 **扫描**）。

| 字段 | 建议 |
| --- | --- |
| 应用到仓库 | HOSTED（如 `maven-releases` / `npm-hosted`）；关键 PROXY 后加 |
| 检查项 | 默认：依赖/制品漏洞 + 许可证合规；需要时再勾代码安全/密钥（非容器） |
| 推送或上传时自动检查 | 打开，保证新包会建任务 |
| 定时扫描 | 覆盖存量；可选「每轮强制重扫」留痕 |
| **未通过时拒绝下载** | **先关**——只出报告 |

保存后 **立即扫描** 一件测试制品：

- Repo **扫描历史** 有任务且完成；  
- **漏洞 / 许可证** 有结果；  
- Security「检查」能看到对应 Job；  
- 制品详情可点 **在 AngusSecurity 查看**。

安全页文案对齐产品：本页提供漏洞台、策略与处置，**扫描执行在 AngusSecurity**。

### 灰度打开「未通过时拒绝下载」

四步节奏（忌第一天全局开闸）：

1. **看得见** — 关键 HOSTED 基线扫完。  
2. **分得清** — 误报/许可证例外集中记理由与过期（VEX 见 SBOM 文）。开闸后 **抑制/接受风险不会解除隔离**。  
3. **先告警** — Critical / 高风险许可证给修复窗口。  
4. **再阻断** — 非生产仓打开门禁 → 验证 403 → 再灰度生产。

| 门禁字段 | 说明 |
| --- | --- |
| 未通过时拒绝下载 | 打开后未通过制品隔离；下载/预览/镜像拉取拒绝；检查失败或不完整也拦 |
| 漏洞门禁阈值 | 默认高危 |
| 许可证门禁 | 不参与 / 不兼容拒绝 / 无法判定也拒绝 |

同仓多策略取最严。开闸后存量要等下次检查才隔离——立刻生效请在策略上 **立即扫描**。关闸且无其他开闸策略 → 隔离**立即**恢复下载。

## 4. 许可证：名单在 Security，场景在 Repo

| 项 | 归属 |
| --- | --- |
| 允许/禁止名单、自定义许可证 | **AngusSecurity → 策略与门禁** |
| 分发场景 | Repo 仓库「许可证分发场景」（空则系统默认）；发起检查时带给 Security |
| 仅 LICENSE 正文推断 | 只展示，**不参与门禁** |

漏洞问「能不能用」，许可证问「允不允许用」。例外必须有理由与过期，勿散落各项目 allowlist。

## 5. 验证清单（集成 + 门禁）

**集成验收**

- [ ] 安全对接：平台深度扫描启用，探活成功  
- [ ] Security 接入应用 ACTIVE  
- [ ] 推送或「立即扫描」能在两侧看到任务  
- [ ] 制品详情可跳转 Security Job  

**门禁验收（非生产仓）**

1. 打开「未通过时拒绝下载」。  
2. 推已知未通过坐标（或临时调低阈值）。  
3. 下游 `pull` / `install` → 期望 **403**。  
4. 关闸 → 可再下载（回滚演练）。  
5. 扫描历史导出一份 SBOM。

流水线建议：构建 →（可选）CI 预扫 → 推 Repo → 等门禁结果 → 仅可下载坐标再部署。预扫不替代 Repo 门禁。

## 6. 翻车表

| 现象 | 常见原因 | 怎么处理 |
| --- | --- | --- |
| 上传成功但「没扫」 | 未对接 / 深度扫描关闭 / 未开推送自动检查 | 查安全对接状态与策略 |
| 「暂无漏洞」当安全 | LOCAL_ONLY 或任务未跑 | 看扫描历史与对接状态 |
| Repo 有任务、Security 无 Job | 接入未 ACTIVE、网络、密钥 | 重测连接；查 Security 集成页 |
| Security 绿、Repo 仍 403 | 两盏灯：阈值/门禁不一致 | 对齐阈值；看 Repo 隔离状态 |
| 抑制了仍 403 | 开闸时抑制不解隔离 | 修版本重发或改阈值重扫 |
| 想对 GROUP 绑策略 | 产品禁止 | 对成员 HOSTED/PROXY 建策略 |
| 容器策略勾了代码安全 | 保存失败 | 容器仅漏洞+许可证 |
| 跨机 Security 取件失败 | 未填 Repo 对外根地址 | 补 `securityPublicBaseUrl` |

## 7. 验收清单（交付给团队）

- [ ] 口头对齐：上传 ≠ 扫过；漏洞引擎在 Security  
- [ ] 安全对接完成；关键 HOSTED 有启用策略  
- [ ] 推送自动或定时已开；基线扫描完成  
- [ ] 非生产仓验证过 403 与关闸回滚  
- [ ] 许可证名单在 Security；分发场景在 Repo；例外可审计  
## FAQ

### 不接 AngusSecurity 能开门禁吗？

下载门禁开关在 Repo，但**没有漏洞扫描结果时，门禁对 CVE 类风险几乎空转**。未对接时不要宣称「已做制品漏洞治理」。

### Repo 门禁和 Security 发布门禁是一回事吗？

不是。Security 管 Finding/策略运营；**协议层拦截在 Repo**。阈值文档应同时约束两侧，避免一绿一红。

### 入库主信号是什么？

对制品/镜像，主信号是 **SCA（+ 许可证）**。SAST/密钥适合包内有源码的普通制品仓；源码仓/PR 更应用 AngusGit / Security 代码路径。

## 小结

- 对接 Security → Repo 策略触发 → Security 跑引擎 → 回调写回 → Repo 可选拒绝下载。  
- 未接入：勿把「暂无漏洞」当成安全。  
- 节奏：看得见 → 分得清 → 先告警 → 再开「未通过时拒绝下载」。  


制品一上传就被当成「扫过了」——这是最常见的误会。真正要拦住的是：有风险的版本还能不能被下游 pull  install  restore，以及许可证策略有没有人执行。只在 CI 打一份报告，或只开扫描不开阻断，都拦不住三个月前已入库、仍被全公司引用的旧包。

制品入库怎么拦住漏洞和许可证问题

上传不等于扫过。对接 AngusSecurity 后由平台跑 SCA，Repo 负责策略触发与「未通过时拒绝下载」；给出集成步骤、能力对照、灰度验证与翻车表。

安全

架构设计

开发工具

制品安全门禁易混淆：上传≠扫描，漏洞引擎在AngusSecurity执行，Repo负责下载拦截。集成后需配置扫描策略，先出报告再灰度开启「未通过时拒绝下载」。关键验证403拦截与回滚，许可证名单归Security，分发场景归Repo。

漏洞扫描

数据分析

代码解释

数据流

容器

DevOps

2026上云采购 | AI焕新·智启新局

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

制品入库怎么拦住漏洞和许可证问题-腾讯云开发者社区-腾讯云

制品入库怎么拦住漏洞和许可证问题

制品入库怎么拦住漏洞和许可证问题

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐