根据安全业务机构WhiteSource的数据，2019年开源项目中的漏洞bug报告数量激增了近50%，某种意义上讲这是件好事，因为你是无法发现那些你不去找的bug的。
随着安全团队与开发人员的对抗，DevOps社区中缺乏标准的实践正在引起越来越大的摩擦。这种内部摩擦使他们开发的软件和使用该应用程序的组织容易受到攻击和破坏。 开源安全和许可证管理公司WhiteSource在9月30日发布的一份报告中探讨了导致孤立软件开发文化的各种因素，以及实现敏捷，成熟的DevSecOps实践需要采取哪些步骤-涉及将IT安全作为一项共享功能集成所有DevOps团队。 该报告表明，软件开发团队面临越来越大的压力，他们忽视了安全功能以满足较短的开发生命周期。 鉴于有消息显示该发现尤其重要，该报告中接受调查的所有开发人员中，有一半以上表示他们没有安全的编码培训或只有年度活动。除了缺乏软件编码人员的安全培训外，还发现少于三分之一的组织拥有已定义的，商定的漏洞优先级排序过程。
Verocode研究结果表明[1]，在开源组件仓库中70.5%的代码库存在安全漏洞，而这些安全漏洞风险46.6%是由其他开源项目直接、间接引进所导致的。Black Duck 报告发现，2020年经过审计的1,546个商业代码库中，98%包含开源软件包，每个代码库平均有528个软件包，84%的代码库在其开源依赖项中至少包含一个公开已知的漏洞[2]。
翻译：王宇@零零信安 封面图.png 美国权威开源软件机构WhiteSource发布的《DevSecOps 深度分析报告》（零零信安翻译和整理）中指出:在整个DevSecOps过程中面临的最大挑战是“漏洞优先级”的确定和执行。大多数安全人员和开发人员都被迫在安全性上妥协，以满足Deadline的要求；购买应用软件检查工具是为了“合规”，而不是考虑开发人员的需求和流程；安全人员面临的最大挑战是确定漏洞优先级，所以“漏洞优先级技术（VPT）”的普及和实施是DevSevOps成功落地的重要组成部分之一。 📷
SBOM 是软件材料清单（Software Bill of Materials）的缩写。它是一份详细记录软件构建过程中使用的所有组件、库和依赖项的清单。
开源对软件的发展可以说具有深远的意义，它帮助我们共享成果，重复使用其他人开发的软件库，让我们能够专注于我们自己的创新，它推进了技术的快速发展。据不完全统计78% 的企业都在使用开源，但是其中有多少企业关注第三方开园依赖的安全呢？其中仅有13% 将安全作为第一考虑因素。可喜的是仍然有50% 的企业将安全列为第二或第三位考虑因素，越来越多的公司开始重视第三方依赖的安全性。
论编程语言的安全性，作为历史最悠久的编程语言，C 仍然是开源漏洞最多的一个，但 PHP 的变化却最大，为什么 PHP 更容易受到攻击？
根据中国信通院出版的《物联网白皮书（2020）》的内容，目前物联网安全问题有如下几种：
在2020年9月的“Gartner安全风险与管理峰会”上发布的《2020-2021 Top Security Projects》中，首次正式提出“Risk-Based Vulnerability Management”（基于风险的弱点管理）项目，作为TOP 10的第二项（在2018和2019年叫“符合CARTA方法论的弱点管理项目”，于2020年进行了重新定义）。
在快速发展的软件开发和 IT 运营领域，DevOps 已成为一种变革性方法，旨在弥合开发和运营团队之间的差距。DevOps 强调协作、自动化和持续改进，以加快软件开发生命周期，同时确保可靠性和质量。成功实施 DevOps 的关键支柱之一是战略性地使用支持开发过程各个阶段的各种工具。
当我加入 WorkSafeBC 负责云端运维和工程流程优化的云端运维团队时，我和大家分享了我的梦想，那就是一个工具化的流水线，每一个产品都可以持续集成和持续交付。
知名应用程序使用的软件包现在将反战文本文件投放在桌面上。 JavaScript库node-ipc的开发人员有意引入了一个严重的安全漏洞，对于一些网民来说，该漏洞会破坏其计算机上的文件。广受欢迎的vue.js框架使用node-ipc这个库。 在GitHub上名为RIAEvangelist的Brandon Nozaki Miller创建了node-ipc，该库每周从NPM注册库下载多达上百万次，被称为是“面向Node的进程间通信模块，支持Unix套接字、TCP、TLS和UDP。” 看来Miller故意更改了代
开放源码许可证通常被开发人员视为是法律顾问在他们忙于创建软件产品时，必须处理的“枯燥”合规性问题。随着各行各业使用开源代码，一些开源项目已成为“大生意”，这使得关于开放源码许可证的再次成为争论的焦点。
读者们可否有信息回答这个问题:"作为安全负责人，你知道公司使用和开发的应用中使用的开源组件都是最新的，已经安装了所有的重要安全补丁？"答案一定是窘迫的，如果连自己公司正在使用哪些软件，用什么开发的系统都不知道，何谈为其安装安全补丁呢？原因在于许多企业所用的开源组件并没有保存准确、全面、更新的资产清单，所以要做好组件安全，首先要有清晰的组件列表，并实时后台自动维护。不仅仅关注外部引入的代码，也要区分商业组件、开源组件和内部组件的版本和漏洞。
XSS（Cross-Site Scripting）攻击是前端安全中的一个重要问题，它发生在攻击者能够注入恶意脚本到网页中，这些脚本在用户浏览器中执行时可以获取用户的敏感信息，例如会话令牌、个人信息等。防御XSS攻击通常涉及以下几个策略：
OWASP TOP 10列表中反复强调的“使用含有已知漏洞的组件”逐步成为供应链安全的显著问题，外部研究机构显示78% 的漏洞是在项目中的间接依赖中被发现的。读者们不妨想一想被Apache Struts和fastjson支配的恐惧，就知道依赖安全类的感知和修复过程非常复杂。所以目前的SDLC中的软件安全领域越来越关注软件成分分析，将其作为一个独立的安全建设领域很有必要，今年上半年默安科技和360代码卫士分别发布了对应的产品，笔者试用后对产出的指标并不十分满意，本文重点阐述一些思考并为读者介绍如何借用开源的力量做好依赖安全。
静态AST（SAST）技术通常在编程和/或测试软件生命周期（SLC）阶段分析应用程序的源代码，字节代码或二进制代码以查找安全漏洞。
DVC 一直是我们在数据科学项目中管理实验的首选工具。由于 DVC 是基于 Git 的，因此对于软件开发人员来说，DVC 无疑是一个备感熟悉的环境，他们可以很容易地将以往的工程实践应用于数据科学生态中。DVC 使用其特有的模型检查点视图对训练数据集、测试数据集、模型的超参数和代码进行了精心的封装。通过把可再现性作为首要关注点，它允许团队在不同版本的模型之间进行“时间旅行”。我们的团队已经成功地将 DVC 用于生产环境，实现了机器学习的持续交付(CD4ML)。DVC 可以与任何类型的存储进行集成（包含但不限于 AWS S3、Google Cloud Storage、MinIO 和 Google Drive）。然而，随着数据集变得越来越大，基于文件系统的快照可能会变得特别昂贵。当底层数据发生快速变化时，DVC 借由其良好的版本化存储特性可以追踪一段时间内的模型漂移。我们的团队已经成功地将 DVC 应用于像 Delta Lake 这样的数据存储格式，利用它优化了写入时复制（COW）的版本控制。我们大多数的数据科学团队会把 DVC 加入到项目的“Day 0”任务列表中。因此，我们很高兴将 DVC 移至采纳。
2022年1月份，Apache SkyWalking社区在其blog上实锤字节跳动的火山引擎里面违反Apache 2.0许可证，重新发布了Apache SkyWalking开源软件。
本文试图清晰地阐述 Kubernetes 策略管理的必要性以及在工作负载安全和自动化方面的作用。另外还会讲述 Kubernetes 策略的适用场景以及实现原理。
开放源代码的策略性应用之路，起始于一个精心策划、组织与授权的开源计划办公室，以指导和管理开源的创建、分发和使用。但这仅仅只是第一步。为了让开源计划办公室顺利运行，您需要正确的工具。这些关键的任务工具将用于追踪各部门的目标与指标，从工程部门和法律部门到行政领导部门、公关部门与营销部门，同时给予员工收集数据、提供开源软件运行快照和管理公司内部开源软件日常使用所需要的全部资源。
一个时间轴的组成 使用一个块级元素包裹内容，并未块级元素设置边框 定义圆形或者菱形等元素标签，子元素设置偏移或者定位元素将图标定位到边框上 使其中的内容不溢出，自动换行，内容自动撑高 英文自动换行：word-wrap:break-word;word-break:break-all 时间轴样式部分 使用时需要注意可能继承的样式会给li:after等伪类元素设置样式而造成效果异常 css中定义了一个圆形的图标class="yuan"，一个菱形的图标class="diamond" <style>
package org.springframework.web.servlet {
本文素材的来源自业务部门技术负责人一次代码走查引发的故事，技术负责人在某次走查成员的代码时，发现他们的业务控制层大量充斥着如下的代码
本文主要讲一下session fixation attacks以及spring security对它的防范。
rocketmq-all-4.6.0-source-release/remoting/src/main/java/org/apache/rocketmq/remoting/netty/NettyRequestProcessor.java
在win10和11中可以分配工作空间，但是只能使用默认的ctrl+win+箭头。这需要使用两只手才能操作，不太方便。 可以使用windowAutoHotkey把快捷键改为 alt + 1/2/3/4 来快速切换到特定的窗口。 user_config.ahk
要想使用spring session，还需要创建名为springSessionRepositoryFilter的SessionRepositoryFilter类。该类实现了Sevlet Filter接口，当请求穿越sevlet filter链时应该首先经过springSessionRepositoryFilter，这样在后面获取session的时候，得到的将是spring session。为了springSessonRepositoryFilter作为filter链中的第一个，spring session提
flink-core-1.7.1-sources.jar!/org/apache/flink/api/common/restartstrategy/RestartStrategies.java
Session 是我们在做java web项目 或者是其他的web项目时 一定会接触的，在学习中，常常被我们用来存储用户的一些关键信息，如：登录状态等
所以我们重点关注的AbstractMessageSource的getMessage方法。以其中一个为例分析
(ps:前几个星期发生的事情)之前同事跟我说不要使用@Autowired方式注入HttpServletRequest(ps:我们的代码之前用的是第2种方式)。同事的意思大概是注入的HttpServletRequest对象是同一个而且存在线程安全问题。我保持质疑的态度，看了下源码，证明了@Autowired方式不存在线程安全问题，而@ModelAttribute方式存在线程安全问题。
rocketmq-all-4.6.0-source-release/common/src/main/java/org/apache/rocketmq/common/protocol/header/SendMessageRequestHeader.java
rocketmq/acl/src/main/java/org/apache/rocketmq/acl/AccessValidator.java
该文讲述了如何实现ios下滚动条默认显示，以及需要注意的样式和兼容性问题，并提供了一个demo示例。
网上有很多LaTeX软件，在线编辑器推荐Overleaf。但是我个人还是更喜欢离线写东西，所以尝试过各种编辑器，例如VSCode等等，这些编辑器都需要自己搭环境才能用，反正对于我们这种初学者而言门槛较高，而且浪费时间，所以下面介绍一个LaTeX组合可以让你直接上手体验LaTeX，而不需要挣扎在LaTeX的门口。
最近做的项目需要支持几十种语言，很多小语种在不认识的人看来跟乱码一样，翻译一般是由翻译公司翻译的，翻译完成后再导入到项目里面，这就容易存在一些问题。
在《Google Test(GTest)使用方法和源码解析——结果统计机制分析》文中，我么分析了GTest如何对测试结果进行统计的。本文我们将解析其结果输出所使用到的Listener机制。（转载请指明出于breaksoftware的csdn博客）
Cheddar/cheddar/cheddar-messaging/src/main/java/com/clicktravel/cheddar/infrastructure/messaging/MessageSender.java
TestRestTemplate和RestTemplate很类似，不过它是专门用在测试环境中的，本文我们将会讲述TestRestTemplate的一些常用方法。
Junit测试异常事件触发 下面的示例中测试在程序中触发异常事件的流程，流程如下 测试程序 public void testTimerBoundaryEventInterrupting() thro
this.getClass().getResource(resourceName)
org/apache/rocketmq/remoting/netty/RequestTask.java
session的作用是在一次会话中（从打开浏览器到关闭浏览器同当前服务器的交流）当客户端第一次请求session对象时候，服务器会为客户端创建一个session，并将通过特殊算法算出一个se
正值如今这信息爆炸的年代，如何能从中汲取精华，于有限时间内，成为更高效的学习者，从而在激烈的竞争中更具优势，是当下每个人或企业都该思虑的问题；先前创立的 Web 应用：「倾城之链」，就是为改善这一困扰的探索尝试，具体可参见关于 | 「倾城之链」。这份为前端开发者而精心维护的超棒列表，就是为解决信息过剩问题的具体实践：旨在为前端学习，技能提升，视野扩展，资料查找等提供价值性参考。目前选择性收录优质仓库近百个，涉及 Web 前端、后台、流行技术以及其他魔力清单。
接上回继续，今天来学习下zip（打包)操作 一、zip操作 @Test public void zipTest() { Observable.zip(Observable.create(emitter -> { for (int i = 0; i < 10; i++) { emitter.onNext(100 + i); } }), Observable.create(emitte
rocketmq-all-4.6.0-source-release/store/src/main/java/org/apache/rocketmq/store/GetMessageResult.java
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
即时通信 IM
对象存储
