用Artifactory和x射线阻止下载

没有人想生病，所以天气变冷时我们会穿夹克，服用维生素C，避免湿着头发在雪地里外出。我们都做了不同的事情来远离讨厌的病毒和细菌，因为我们知道，生产力的损失和恢复身体系统的努力比我们一直采取的这些预防措施要大得多。

检测安全漏洞，使您的系统不会“感冒”

软件系统也是如此。如果一个具有已知问题或漏洞的工件进入了您的生态系统，那么您将需要花费一定的代价才能摆脱它。当然，现在你有了JFrog Xray，你可以检测安全漏洞，性能问题，甚至你定义的自定义问题，但如果你只检测这些一旦他们已经被使用，你将有一些工作要做。您的组件已经经历了X开发和QA周期，您可能刚刚准备好发布到生产环境，然后有人记得Xray在几个星期前暴露了一个依赖项中的安全漏洞。哎呀，停止开发，寻找替代组件，重构代码，开发- qa -repeat- x次，你花了几周时间才使代码再次变得良好。如果你能避免这种情况不是很好吗?现在你可以了!

预防胜于治疗

到目前为止，这些事情都是手动处理的。当工件下载到远程存储库缓存时，将触发Xray运行扫描，如果检测到任何问题，将通知DevSec工作人员。然后，您必须决定是否发布工件以供下载，并手动进行管理。JFrog Artifactory的最新版本让你把DevSec从循环中拿出来。您现在可以自动阻止Xray已检测到安全漏洞的工件的下载。

有两个级别的保护。首先，您可以指定引入到Artifactory的工件(无论它们是缓存在远程存储库中，还是上传到本地存储库)在被Xray索引和扫描之前不能下载。这类似于信用卡公司在授予你信用卡之前进行的背景调查。类似地，在对工件进行背景检查(x射线扫描)之前，您不希望给它们任何下载的信用。

第二级保护使您可以更好地控制应该阻止哪些工件(如果有的话)。工件中发现的问题按严重程度分级:次要、主要或严重。并不是每个小问题都能让你分手。这是你可以控制的。当问题暴露时，您将收到通知，但在有机会进一步调查问题之前，您可能不希望立即停止开发。相反，很有可能您想要阻止任何具有关键问题的工件，而您的开发人员将不得不寻找其他东西。因此，如果Xray检测到问题，您可以指定希望阻止工件的严重性级别。

无论您选择使用这些设置中的哪一种，只要您设置了它们，Xray就会触发扫描整个存储库，因此任何没有通过信用检查的组件都将立即被阻止。

为了避免让开发人员困惑为什么他们两手空空，Artifactory在树浏览器中显示了一个关于阻塞工件的通知，并为由于工件被阻塞而失败的REST API调用提供了一个信息丰富的错误消息。

所以x射线和Artifactory是你的软件系统的夹克，羊毛帽或膳食补充剂。他们是不知疲倦的哨兵，防止任何未经检查的、可疑的和潜在的有害工件接近您宝贵的生产系统。使用下载阻塞，您的系统就可以预防神器疾病，因此您可以相信它们会以最佳状态执行并完成它们应该做的事情。这一切都是在后台自动发生的，你不需要动一根手指。

额外的资源:2022世界杯阿根廷预选赛赛程
阅读有关Log4j Log4shell可控性