阻止下载与Artifactory和Xray

没有人想生病，所以我们会在天气变冷的时候穿夹克，服用维生素C，避免湿着头发出门。我们都做不同的事情来远离讨厌的病毒和细菌，因为我们知道，生产力的损失和我们必须付出的努力使我们的身体系统恢复健康，比我们一直采取的这些预防措施要沉重得多。

检测安全漏洞，以免系统“感冒”。

软件系统也是如此。如果一个带有已知问题或漏洞的工件进入了您的生态系统，那么您将需要花费一定的成本来摆脱它。当然，现在有了JFrog Xray，您就可以检测安全漏洞、性能问题，甚至您定义的自定义问题，但是如果您只在已经使用这些问题时检测它们，那么您将需要做一些工作。您的组件已经经历了X的开发和QA周期，您可能刚刚准备好发布到生产环境中，然后有人想起几周前Xray在其中一个依赖项中暴露了一个安全漏洞。哎呀，停止开发，寻找替代组件，重构代码，开发- qa -repeat- x次，然后花了几周时间才使代码恢复正常。如果你能避免这种情况不是很好吗?现在你可以了!

预防胜于治疗

到目前为止，这些事情都是手工处理的。当一个工件被下载到远程存储库缓存时，Xray被触发运行扫描，如果检测到任何问题，你的DevSec工作人员得到通知。然后您必须决定是否发布工件以供下载，并手动管理。JFrog Artifactory的最新版本让您可以将DevSec排除在循环之外。现在，您可以自动阻止Xray检测到安全漏洞的工件的下载。

有两个级别的保护。首先，您可以指定引入Artifactory的工件(无论它们是缓存在远程存储库中，还是上传到本地存储库)在被Xray索引和扫描之前不能下载。这类似于信用卡公司在给你发信用卡之前进行的背景调查。类似地，在对工件进行背景检查(x射线扫描)之前，您不希望给它们任何可以下载的信用。

第二级保护使您能够更好地控制应该阻止哪些工件(如果有的话)。在工件中发现的问题按照严重性级别进行分级:次要、主要或关键。不是每一个小问题都要成为你分手的原因。这是你可以控制的。当问题暴露时，您将收到通知，但在您有机会进一步调查问题之前，您可能不想立即停止开发。相反，您很有可能想要阻止任何具有关键问题的工件，而您的开发人员将不得不寻找其他东西。因此，如果x射线检测到问题，您可以指定希望在哪个严重级别阻止工件。

无论您选择使用这些设置中的哪一个，一旦您设置了它们，就会触发Xray扫描整个存储库，因此任何未通过信用检查的组件将立即被阻止。

为了避免让您的开发人员对他们为什么空手而来感到困惑，Artifactory在树形浏览器中显示了一个关于被阻止的工件的通知，并为由于工件被阻止而失败的REST API调用提供了一个信息错误消息。

所以Xray和Artifactory是你软件系统的外套、羊毛帽或膳食补充剂。它们是不知疲倦的哨兵，防止任何未经检查的、可疑的和潜在有害的工件接近您宝贵的生产系统。通过下载阻止，您的系统可以预防人工制品疾病，因此您可以信任它们以最佳状态运行并完成它们应该做的事情。这一切都是自动发生的，在背景中，你不需要抬起手指。

额外的资源:2022世界杯阿根廷预选赛赛程
阅读有关Log4j Log4shell可扩展性