SCA 技术进阶系列（二）：代码同源检测技术在供应链安全治理中的应用

直击痛点：为什么需要同源检测

随着 “数字中国” 建设的不断提速，企业在数字化转型的创新实践中不断加大对开源技术的应用，引入开源组件完成应用需求开发已经成为了大多数研发工程师开发软件代码的主要手段。随之而来的一个痛点问题是：绝大多数的应用程序都包含开源组件风险。因而，能够帮助管理和降低开源组件风险的 SCA 技术应运而生。

常规的 SCA 软件成分分析工具可以通过分析组件版本及依赖，完成对引用的三方开源组件的检查，从而识别已知的组件漏洞以及授权许可风险。但是，组件漏洞来源于代码编写存在的安全缺陷，对于引用开源组件源码的部分代码片段，从而导致引入存在安全缺陷代码的场景，则需要使用代码同源检测技术进行检查。代码同源检测是基于源代码文件的维度面向源代码进行成分分析，主要用于代码溯源分析、代码已知漏洞分析、恶意代码文件等，可以准确地分析出引用的开源软件及其关联信息。本文将从代码同源检测技术原理、核心技术和常见应用场景三大方面对该技术进行解析。

原理浅析：同源检测技术原理介绍

同源检测即同源性分析，指对应用程序或软件中的组成成分进行同源性分析，按照分析的精度划分，精度由低到高可将同源检测分为文件级、函数级和片段级。代码同源检测技术主要用于检测应用源代码中某个片段代码与项目中其他片段代码或开源代码存在的相同代码成分，因此也被称为代码克隆检测。

代码克隆（Code Clone），是指本地代码库或开源代码库中存在多个以上相同或者相似的源代码片段。使用克隆代码在代码开发过程中也是提高开发效率的一种方式，一定程度上帮助了软件系统的开发，但这种方式也可能意外引入代码片段本身存在的安全风险或授权许可风险等负面影响。随着软件在敏捷开发的模式下不断迭代，代码克隆造成代码库的不断膨胀，在未有良好的克隆管理的情况下，从而增加维护成本。软件缺陷也会因为代码克隆而在系统中被传播，，降低了软件系统的可靠性。因此，运用代码克隆检测技术可实现满足 SCA 能够检测分析应用程序中引入的开源组件、分析开源组件是否有已知的安全漏洞、分析应用程序或开源组件声明的开源许可证、对源代码进行溯源分析等核心功能。