19、软件开发中的安全、部署、测试与资源管理

软件开发中的安全、部署、测试与资源管理

1. 安全左移：源和依赖扫描

在当今市场上，有许多工具和流程都在推动“左移”实践，即在功能开发过程中尽早发现问题并收集反馈。然而，安全领域往往不如持续集成、自动化测试和持续部署那样受到关注。实际上，安全应该贯穿整个应用程序生命周期，从设计到交付都要将其视为不可或缺的一部分。

1.1 静态代码分析和依赖扫描

将安全左移的两个关键领域是静态代码分析和依赖扫描。静态代码分析可以涵盖多个方面，如代码异味、圈复杂度和潜在的不良实践，还能帮助识别专有代码可能被利用或易受攻击的区域。依赖扫描则在处理第三方或开源软件组件时更为常见。通过扫描依赖图，不仅可以了解直接引用的库，还能看到引入解决方案的完整组件网络。

1.2 扫描频率和文化建设

扫描的频率也很重要，理想情况下应尽早捕获所有潜在问题。但工程师可能不喜欢在持续集成构建定义中加入扫描，因为静态代码或依赖分析扫描可能需要很长时间。此外，市场上有很多扫描工具，但更重要的是要让团队重视这些工具的结果，建立扫描和修复安全漏洞的意识，这对推动组织文化发展至关重要。

1.3 静态代码分析工具：SonarQube

可以考虑安装 SonarQube 来进行静态代码分析，它是 SonarSource 提供的一款基本免费的静态分析工具。

2. 持续交付与持续部署

并非所有应用程序和组件都需要自动交付到生产环境。有些应用程序适合持续交付，如更新网站内容；而更新大量客户端库则可能需要更谨慎。

2.1 持续交付与持续部署的区别

持续交付是利用持续集成的输出，自动将新的已知良好构建