开源代码扫描工具 Socket 添加 Go 语言支持
继日前宣布完成 2000 万美元的 A 轮融资后,开源代码扫描工具 Socket 紧接着宣布新增了对 Go 语言的支持;此前其仅支持 JavaScript 和 Python 语言。 “在过去的几个月中,我们观察到针对 Golang 的供应链攻击有所增加。意识到这种迫在眉睫的威胁后,我们知道是时候将 Socket 已经验证的主动式防护引入 Go 了。” Socket 方面还介绍了在添加Go 支持过程中所面临的挑战: 自定义依赖关系管理:与具有集中式存储库的 npm 或 pip 不同,Go 的 decentralized 方法及其基于 VCS 的依赖项获取可能更难监控。使用 GOPROXY 协议作为 crutch 的工具将错过发布到版本控制系统的最新版本,而这些正是最有可能发起供应链攻击的软件包。 No lockfile:go.sum文件不是 lockfile,而是 Go 抵御 VCS 存储库和模块代理中被劫持的版本标记的最后一道防线。虽然它是保持 Go 生态系统安全的重要组成部分,但仅靠它无法防止 Go 模块中的危险代码。 动态版本控制:Go 模块的伪版本提供了未标记的 commit-b...