Go-ийн төслүүдийг удирдах үед тавтай морилно уу, хязгаарлалт шалгаж, лицензийн ач холбогдолтой байдлыг хангах хэрэгтэй. Үүнээс гадна хэрэгсэл дээр суурилуулах нь бид Go-ийн стандарт библиотек ашиглан өөрсдийн хязгаарлалт анализч үүсгэх болно. үндсэн бүтэц Бид Go модулийг ажиллуулж болно, Тиймээс бид тэднийг санал болгож буй бүтэц хэрэгтэй: package main

import (
	"bufio"
	"encoding/json"
	"fmt"
	"io"
	"net/http"
	"os"
	"regexp"
	"sort"
	"strings"
	"time"
)

type Module struct {
	Path     string
	Version  string
	Indirect bool
}

type GoMod struct {
	Module   Module
	Requires []Module
}
 Бидний хэрэгсэл гурван үйл ажиллагаа явуулж болно: алдааны жагсаалтын жагсаалтын жагсаалтын жагсаалтын жагсаалтын жагсаалтын жагсаалтын жагсаалт. Parsing go.mod файлууд Модуль файлын бүтэц go.mod файлуудыг тодорхой хэлбэрээр ашигладаг. Модуль хэлбэлзэл нь модуль хэлбэлзэл дараах модуль хэлбэлзэлээр эхэлнэ. Барааны хэлбэлзэл, нэг шугам буюу олон шугам блок дээр багтаасан байж болох require хэлбэлзэл дээр жагсаалтанд жагсаалтанд жагсаалтанд агуулдаг. Ангиллын логик нь олон шугам шаардлагатай блогийн дотор байгаа эсэхийг харахын тулд хооронд хоёр хэлбэртэй ажиллуулж байна. Бид модуль хоорондоо, хувилбарыг тус бүр шугамээс олж авахын тулд редовний хэлбэрээр ашиглаж, // индирект сэтгэгдэл хайж байлга. Энэ арга хэрэгсэл бидэнтэй идэвхтэй мэдээллийг санал болгож байна, гэхдээ гадааны үйл явцыг үүсгэхгүйгээр. Үүнээс дээш бооцооны , Бид Parse Холбоо барих: go list go.mod func parseGoMod() (*GoMod, error) {
	file, err := os.Open("go.mod")
	if err != nil {
		return nil, fmt.Errorf("go.mod not found: %v", err)
	}
	defer file.Close()

	goMod := &GoMod{
		Requires: []Module{},
	}

	scanner := bufio.NewScanner(file)
	inRequire := false
	requireRegex := regexp.MustCompile(`^\s*([^\s]+)\s+([^\s]+)(?:\s+//\s*indirect)?`)
	moduleRegex := regexp.MustCompile(`^module\s+(.+)`)

	for scanner.Scan() {
		line := strings.TrimSpace(scanner.Text())

		if strings.HasPrefix(line, "module ") {
			if matches := moduleRegex.FindStringSubmatch(line); len(matches) > 1 {
				goMod.Module = Module{Path: matches[1]}
			}
		}

		if strings.HasPrefix(line, "require (") {
			inRequire = true
			continue
		}

		if inRequire && line == ")" {
			inRequire = false
			continue
		}

		if inRequire || strings.HasPrefix(line, "require ") {
			cleanLine := strings.TrimPrefix(line, "require ")
			if matches := requireRegex.FindStringSubmatch(cleanLine); len(matches) >= 3 {
				module := Module{
					Path:     matches[1],
					Version:  matches[2],
					Indirect: strings.Contains(line, "indirect"),
				}
				goMod.Requires = append(goMod.Requires, module)
			}
		}
	}

	return goMod, scanner.Err()
}
 Апсер нь Single-Line Requires болон Multi-Line Requires Блокийг хослуулдаг. Энэ нь модуль шугам, хувилбарууд олж, хязгаарлагдмал түлхүүрүүдийг идентичдэг. Хязгаарлалт баазын асуулт Аюулгүй байдлын хяналт хэрхэн ажилладаг Аюулгүй байдлын мэдээллийн сан нь програм хангамжийн багцыг мэдэгдсэн аюулгүй байдлын асуултуудын жагсаалтыг хадгалж байна. Бүх асуултууд нь CVE-ийн тоо гэх мэт ID-ийг хуваалцаж, харуулсан хувилбаруудын талаархи мэдээлэл агуулдаг. үйл явц нь дараах хэлбэрээр ажилладаг: Бид багц нэр, хувилбарууд багийн API-д илгээж, энэ тодорхой хувилбарууд нь мэдэгдсэн асуултуудтай байгаа бол шалгах, дараа нь мэдэгдсэн асуултуудын жагсаалтанд жагсаалтанд жагсаалтанд жагсаалтад. OSV мэдээллийн сан нь олон эх сурвалжаас хязгаарлалт өгөгдлийг нэгтгэсэн бөгөөд нэгтгэсэн API-ийг хангахын тулд маш их ашигтай байдаг. Бид үүнийг асуултанд суралцаж байгаа үед бид ихэвчлэн "Энэ багцын энэ зөв хувилбар нь ямар ч аюулгүй байдлын асуултуудтай байна уу?" Бид OSV (Open Source Vulnerabilities) өгөгдлийг мэдэгдсэн асуудалтай шалгах боломжтой: func checkOSVDatabase(modulePath, version string) []string {
	url := "https://api.osv.dev/v1/query"

	payload := map[string]interface{}{
		"package": map[string]string{
			"name":      modulePath,
			"ecosystem": "Go",
		},
		"version": version,
	}

	jsonData, err := json.Marshal(payload)
	if err != nil {
		return []string{}
	}

	client := &http.Client{Timeout: 10 * time.Second}
	resp, err := client.Post(url, "application/json", strings.NewReader(string(jsonData)))
	if err != nil {
		return []string{}
	}
	defer resp.Body.Close()

	if resp.StatusCode != 200 {
		return []string{}
	}

	var result struct {
		Vulns []struct {
			ID      string `json:"id"`
			Summary string `json:"summary"`
		} `json:"vulns"`
	}

	if err := json.NewDecoder(resp.Body).Decode(&result); err != nil {
		return []string{}
	}

	var vulnerabilities []string
	for _, vuln := range result.Vulns {
		vulnStr := fmt.Sprintf("%s: %s", vuln.ID, vuln.Summary)
		vulnerabilities = append(vulnerabilities, vulnStr)
	}

	return vulnerabilities
}

func checkVulnerabilities() {
	goMod, err := parseGoMod()
	if err != nil {
		fmt.Printf("Error: %v\n", err)
		return
	}

	vulnerableModules := 0

	for i, mod := range goMod.Requires {
		fmt.Printf("\rScanning %d/%d: %s", i+1, len(goMod.Requires), mod.Path)
		vulns := checkOSVDatabase(mod.Path, mod.Version)
		if len(vulns) > 0 {
			vulnerableModules++
			fmt.Printf("\n🚨 %s@%s:\n", mod.Path, mod.Version)
			for _, vuln := range vulns {
				fmt.Printf("  - %s\n", vuln)
			}
		}
	}

	if vulnerableModules == 0 {
		fmt.Println("\n✅ No known vulnerabilities found")
	} else {
		fmt.Printf("\n⚠️ Found %d vulnerable modules\n", vulnerableModules)
	}
}
 Хязгаарлалт шалгагч модулийн нэр, хувилбартай JSON-ийн хэрэглээг илгээж, дараа нь ямар ч бүртгэгдсэн хязгаарлалт нь хариу шалгах болно. Лицензийн мэдээллийг олж авах Лицензийн илрүүлэх хэрхэн ажилладаг Лицензийн тохиргооны шалгах нь үйл явц дахь тусгай тохиргооны талаархи хууль эрх зүйн хэлбэрийн тодорхойлолтыг харуулдаг. Ихэнх нээлттэй эх сурвалж төсөл нь лицензийн файлуудыг хадгалах, GitHub гэх мэт платформ нь SPDX ID-ийг ашиглан лицензийн төрөлг идентичлэхэд энэ файлуудыг шалгах болно. Бидний арга хэрэгсэл GitHub-ийн лиценз илрүүлэх API-ийг ашигладаг. Энэ нь репозиторийн агуулгыг анализ, стандартизирован лиценз ID-ийг returns. GitHub-д байрладаг модулиуд нь бид модуль хоорондын эзэмшигч, репозиторийн нэр, дараа нь GitHub-ийн API-ийг анхааралтай бөгөөд энэ нь тусгайлан лиценз мэдээллийг хангах болно. Энэ нь машин уншсан лицензны өгөгдлийг татаж, лиценз файлуудыг шалгах хэрэгтэйгүйгээр бидэнд өгөх болно. янз бүрийн лиценз нь янз бүрийн хэрэгцээтэй байдаг, MIT гэх мэт зарим нь маш тохиромжтой байдаг, гэхдээ GPL гэх мэт бусад нь copyleft хэрэгцээтэй байдаг бөгөөд таны програм хангамжийг хуваалцаж болно. Эдгээр янз бүрийн мэдэгдэх нь эрх зүйн тохируулга нь чухал юм. GitHub-ийн хосттай модулуудын хувьд бид API-ийн лицензийн өгөгдлийг олж болно: func fetchGitHubLicense(owner, repo string) string {
	url := fmt.Sprintf("https://api.github.com/repos/%s/%s/license", owner, repo)

	client := &http.Client{Timeout: 10 * time.Second}
	resp, err := client.Get(url)
	if err != nil {
		return "Unknown"
	}
	defer resp.Body.Close()

	if resp.StatusCode != 200 {
		return "Unknown"
	}

	var result struct {
		License struct {
			SPDXID string `json:"spdx_id"`
		} `json:"license"`
	}

	if err := json.NewDecoder(resp.Body).Decode(&result); err != nil {
		return "Unknown"
	}

	if result.License.SPDXID != "" && result.License.SPDXID != "NOASSERTION" {
		return result.License.SPDXID
	}

	return "Unknown"
}

func fetchLicenseFromRepo(modulePath string) string {
	if strings.HasPrefix(modulePath, "golang.org/x/") {
		return "BSD-3-Clause"
	}

	if !strings.HasPrefix(modulePath, "github.com/") {
		return "Unknown"
	}

	parts := strings.Split(modulePath, "/")
	if len(parts) < 3 {
		return "Unknown"
	}

	return fetchGitHubLicense(parts[1], parts[2])
}

func checkLicenses() {
	goMod, err := parseGoMod()
	if err != nil {
		fmt.Printf("Error: %v\n", err)
		return
	}

	licenseCount := make(map[string]int)

	for i, mod := range goMod.Requires {
		fmt.Printf("\rProcessing %d/%d...", i+1, len(goMod.Requires))
		license := fetchLicenseFromRepo(mod.Path)
		licenseCount[license]++
		fmt.Printf("\r  %s: %s\n", mod.Path, license)
	}

	fmt.Println("\nLicense Distribution:")
	for license, count := range licenseCount {
		percentage := float64(count) / float64(len(goMod.Requires)) * 100
		fmt.Printf("  %s: %d modules (%.1f%%)\n", license, count, percentage)
	}
}
 Лицензийн шалгуур нь энэ Бүтээгдэхүүн BSD-3-Clause ашигладаг, дараа нь GitHub-ийн API-ийг бусад репозиторийг хайж байна. golang.org/x/ Checksum Checksum Checksum Checksum Checksum Захиалгын анализатор модулийг жагсаалт, тэдний нарийвчлал нь ашиглах : go.sum func parseGoSum() map[string]string {
	checksums := make(map[string]string)

	file, err := os.Open("go.sum")
	if err != nil {
		return checksums
	}
	defer file.Close()

	scanner := bufio.NewScanner(file)
	for scanner.Scan() {
		parts := strings.Fields(scanner.Text())
		if len(parts) >= 3 {
			module := parts[0] + "@" + parts[1]
			checksums[module] = parts[2]
		}
	}

	return checksums
}

func analyzeDependencies() {
	goMod, err := parseGoMod()
	if err != nil {
		fmt.Printf("Error: %v\n", err)
		return
	}

	checksums := parseGoSum()

	fmt.Printf("Module: %s\n", goMod.Module.Path)
	fmt.Printf("Found %d dependencies:\n\n", len(goMod.Requires))

	direct, indirect := 0, 0

	sort.Slice(goMod.Requires, func(i, j int) bool {
		return goMod.Requires[i].Path < goMod.Requires[j].Path
	})

	for _, mod := range goMod.Requires {
		status := "direct"
		if mod.Indirect {
			status = "indirect"
			indirect++
		} else {
			direct++
		}

		checksumKey := mod.Path + "@" + mod.Version
		hasChecksum := "❌"
		if _, exists := checksums[checksumKey]; exists {
			hasChecksum = "✅"
		}

		fmt.Printf("  %s %s@%s (%s)\n", hasChecksum, mod.Path, mod.Version, status)
	}

	fmt.Printf("\nSummary: %d direct, %d indirect dependencies\n", direct, indirect)
}
 интерфэйс Үндсэн функц нь тохиромжтой үйлчлүүлэгчдэд орд: func main() {
	if len(os.Args) < 2 {
		fmt.Println("Usage: go run main.go <command>")
		fmt.Println("Commands:")
		fmt.Println("  deps      List all dependencies")
		fmt.Println("  vulns     Check for vulnerabilities")
		fmt.Println("  licenses  Check license compliance")
		os.Exit(1)
	}

	switch os.Args[1] {
	case "deps":
		analyzeDependencies()
	case "vulns":
		checkVulnerabilities()
	case "licenses":
		checkLicenses()
	default:
		fmt.Println("Unknown command")
		os.Exit(1)
	}
}
 Ажлын хэрэгсэл Санал авах код as болон ямар ч Go төсөл дээр үүнийг ажиллуулах: main.go # List dependencies with checksum verification
go run main.go deps
 # Scan for vulnerabilities
go run main.go vulns
 # Analyze licenses
go run main.go licenses
 Ажлын мэдээлэл, хязгаарлалт өгөгдөл, лицензийн хуваалцлага нь өөрийн төслийн хязгаарлалт дээр үзнэ үү. Ажлын анализ, модуль файлуудыг анхаарах, албан ёсны API-г анхаарах, өгөгдлийн эх үүсвэрийг харьцуулахад хэрхэн үйл ажиллагаа явуулж байна. Энэ гүйцэтгэл нь үндсэн концептуудыг хамардаг боловч зүгээр л эх үүсвэр юм. Үнэгүй хязгаарлалт сканинг нь өргөн хүрээтэй өгөгдөл бааз, дэвшилтэт хувилбар хүрээтэй харьцуулахад, фейс-позитив шүүлтүүр, хязгаарлалт тохиромжтой хяналтыг шаарддаг. Лицензийн тохируулга хэрэгслүүд нь хууль эрх зүйн бодлого хөдөлгүүр, нийцлийн матриц, GitHub-ийн API-ийн санал болгож буй илүү тохиромжтой лиценз илрүүлэх хэрэгтэй. Бүтээгдэхүүний хэрэглээнд, танд хэд хэдэн өгөгдлийн эх үүсвэр, кешинг, түвшинд хязгаарлахад, илүү нарийвчлалтай баталгаажуулалтын логик хэрэгтэй. Хамгийн сүүлийн үеийн цоож ;) Та үүнийг олж болно Source Code https://github.com/rezmoss/go-dependency-scanner

This story contains new, firsthand information uncovered by the writer.

The code in this story is for educational purposes. The readers are solely responsible for whatever they build with it.

Read My Stories

Энэхүү аудио нь түүхийн эх хэлээр хийгдсэн болно!

Хэтэрхий урт; Унших

Make resilience your competitive advantage

Go Dependency Scanner үүсгэх

About Author

Сэтгэгдлүүд

TAG ҮҮ

ЭНЭ ӨГҮҮЛЛИЙГ ТОЛГОЙЛУУЛСАН

Related Stories

Light-Mode

Classic

Newspaper

Dark-Mode

Neon Noir

Minty

HN StartUps