注:图中标红为两次提供征集材料的开源供应商,其他为前期调研收集的开源供应商。
7、安全领域:开源治理工具市场繁荣
根据中国信通院两次供应商全景观察收集材料情况来看,开源治理工具为保障开源安全的必备工具,开源治理工具扫描原理差异性较大,导致开源组件的误报率和漏报率各不相同,总结来看主要呈现以下三种开源治理工具扫描原理:
工具扫描开源软件源代码,进行源代码片段式比对来识别组件并识别许可证类型。此类工具扫描后得出的组件信息需人工确认。
工具不扫描开源软件源代码,对文件级别提取特征文件,生成二进制包,通过对二进制包进行比对来识别组件并确定许可证类型。此类工具扫描后得出的组件信息是自动确认的。
工具不扫描开源软件源代码,通过扫描包配置文件读取信息,进行依赖识别从而识别组件并识别许可证类型。此类工具扫描后得出的组件信息是自动确认的。