开源代码扫描工具 Socket 添加 Go 语言支持
继日前宣布完成 2000 万美元的 A 轮融资后，开源代码扫描工具 Socket 紧接着宣布新增了对 Go 语言的支持；此前其仅支持 JavaScript 和 Python 语言。 “在过去的几个月中，我们观察到针对 Golang 的供应链攻击有所增加。意识到这种迫在眉睫的威胁后，我们知道是时候将 Socket 已经验证的主动式防护引入 Go 了。” Socket 方面还介绍了在添加Go 支持过程中所面临的挑战： 自定义依赖关系管理：与具有集中式存储库的 npm 或 pip 不同，Go 的 decentralized 方法及其基于 VCS 的依赖项获取可能更难监控。使用 GOPROXY 协议作为 crutch 的工具将错过发布到版本控制系统的最新版本，而这些正是最有可能发起供应链攻击的软件包。 No lockfile：go.sum文件不是 lockfile，而是 Go 抵御 VCS 存储库和模块代理中被劫持的版本标记的最后一道防线。虽然它是保持 Go 生态系统安全的重要组成部分，但仅靠它无法防止 Go 模块中的危险代码。 动态版本控制：Go 模块的伪版本提供了未标记的 commit-b...
