检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
成分分析的开源漏洞文件路径如何查看？ 有多种方式可查看开源漏洞分析结果的文件路径： 方式一：进入报告详情页面，打开开源漏洞分析扫描结果，单击“组件名称”可查看包含组件的文件对象，鼠标放在相应“对象路径”，即可查看该对象路径，也可单击右侧按钮复制； 方式二：打开报告详情页面，单击“下载报告
清单和潜在风险清单。主要包括以下几类： 开源软件风险：检测包中的开源软件风险，如已知漏洞、License合规等。 安全配置风险：检测包中配置类风险，如硬编码凭证、敏感文件（如密钥、证书、调试工具等）问题、OS认证和访问控制类问题等。 信息泄露风险：检测包中信息泄露风险，如IP泄露、硬编码密钥、弱口令、
显示病毒扫描和恶意代码扫描的结果。 在“开源软件漏洞”页签可查看软件包各个组件的漏洞。 如果检测结果存在漏洞或者风险，可单击“组件名称”列，查看详细信息。 单击“对象路径”，可以查看文件对象路径详细信息。 单击“CVE”漏洞名称可以查看相应漏洞的“漏洞详情”、“漏洞简介”、“解决方案”、“漏洞修复参考”、“参考链接”。
Software Configurations，如下图，确认漏洞是否影响当前使用的软件版本，如果当前使用的软件版本不在影响范围内，则初步说明漏洞可能不涉及/影响。 精细化分析：漏洞通常存在于某些函数中，可以通过社区中的漏洞修复补丁确认漏洞详情、涉及函数以及修复方式，如下图，用户可以结合自身
成分分析特征库不支持该开源软件版本。 用户引用的开源软件修改过源码，或使用时部分引用该软件功能，导致实际编译/发布文件中相关软件特征未达到工具识别阈值，造成开源软件无法识别或版本识别异常。 用户使用的开源软件包含被动依赖软件，该依赖软件可能为部分引用，造成软件无法识别或版本识别异常。
平均扫描时间预估：根据不同的压缩格式或者文件类型扫描时长会有一定的差异，平均100MB/6min。 服务采用基于软件版本的方式检测漏洞，不支持补丁修复漏洞场景的检测。 父主题： 二进制成分分析类
查看软件的所有组件信息。 图5 查看组件列表信息 漏洞列表 您可以参考每个组件扫描出的漏洞详细信息修复漏洞。 图6 查看漏洞列表信息 密钥和信息泄露问题列表 图7 查看密钥和信息泄露问题 安全编译选项问题列表 图8 查看安全编译选项问题列表 安全配置检查列表 图9 查看安全配置检查列表
获取开源漏洞分析报告 功能介绍 根据任务ID获取开源漏洞分析的报告 URI GET /v1/{project_id}/sbc/task/report/opensource 表1 路径参数 参数 是否必选 参数类型 描述 project_id 是 String 用户project_id
成分分析的安全配置类问题如何分析？ 成分分析会检测用户包中一些安全配置项是否合规，主要如下： 用户上传的软件包/固件中存在的敏感文件，如（密钥文件，证书文件，源码文件，调试工具等）。 用户上传的软件包/固件中操作系统中的用户与组配置、硬编码凭证、认证和访问控制等配置类问题。若不存在操作系统，则不涉及。 安全配置类检查问题分析指导：
获取组件漏洞映射表 功能介绍 获取组件漏洞映射表信息 URI GET /v1/{project_id}/sbc/vuln/map/list 表1 路径参数 参数 是否必选 参数类型 描述 project_id 是 String 用户project_id 最小长度：32 最大长度：32
征库版本、任务描述等基本信息。 显示目标任务的组件检测、安全漏洞、开源许可证检测概况，包括： 组件检测：展示被扫描的软件包中所有的组件数量，有漏洞和无漏洞组件的数量。 安全漏洞：展示超危、高危、中危、低危各个级别安全漏洞的数量。 开源许可证：展示高风险、中风险、低风险各个级别开源许可证的统计信息。
获取漏洞信息对外接口 功能介绍 获取漏洞信息对外接口信息 URI GET /v1/{project_id}/sbc/vuln/info 表1 路径参数 参数 是否必选 参数类型 描述 project_id 是 String 用户project_id 最小长度：32 最大长度：32
停售区域：中国站所有区域 停售影响 正式停售后，用户无法新购，已购买移动应用安全相关规格的用户不受影响，可继续使用至套餐包到期。 如您需要继续使用同款产品，请在漏洞管理服务CodeArts Inspector中重新购买使用。 如您有任何问题，可随时通过工单或者服务热线（4000-955-988或950808）与我们联系。
显示病毒扫描和恶意代码扫描的结果。 在“开源软件漏洞”页签可查看软件包各个组件的漏洞。 如果检测结果存在漏洞或者风险，可单击“组件名称”列，查看详细信息。 单击“对象路径”，可以查看文件对象路径详细信息。 单击“CVE”漏洞名称可以查看相应漏洞的“漏洞详情”、“漏洞简介”、“解决方案”、“漏洞修复参考”、“参考链接”。
变更区域：中国站所有区域 变更影响 华为云在此提醒您，特性下线后，您将无法在开源治理服务CodeArts Governance中使用移动应用安全扫描特性。 华为云漏洞管理服务CodeArts Inspector已提供相应特性，特性能力一致，您可在CodeArts Inspector服务中购买使用。 如您
是否将本次扫描升级为正式版规格 打开开关，可以将本次扫描升级为正式版规格。 升级后，本次扫描可享受正式版规格，包含如下额外功能： 支持手工上传软件包分析。 支持开源软件漏洞、License合规检查、信息泄露检测等基础检查能力。 支持导出专业扫描报告。 说明： 如果扫描次数较频繁，建议购买包年正式版服务，前往购买。
任务管理 语言类型 支持C/C++/Java/Go/JavaScript/Python/Rust/Swift/C#/PHP等语言开源软件已知漏洞检测。 扫描包格式 支持上传的文件格式有.7z、.arj、.cpio、.phar、.rar、.tar、.xar、.zip、.jar、.apk、
源码成分分析 全方位风险检测 对软件源码进行全面分析，基于源码特征识别检测规则，检测相关被测对象的开源软件漏洞和许可证合规等潜在风险。 漏洞分析指导 提供全面、直观的漏洞汇总信息，并提供专业的解决方案和修复建议。
需开通CodeArts服务方可使用。 与漏洞管理服务的关系 开源治理服务中的主机和Web漏洞扫描功能由独立的漏洞管理（CodeArts Inspector）云服务提供，用户可以通过超链接跳转至漏洞管理服务页面执行相关主机和Web的漏洞扫描。 与制品仓库服务的关系 开源治理服务中的
展示最近30天被扫描的软件包个数，以及有风险和未完成的软件包个数。 风险信息 TOP5 展示前五项组件风险信息，可查看组件名称、组件版本、语言类型、版本时间、漏洞数、高危漏洞数、许可证集成风险和引用数量。 最近一次二进制成分分析扫描 展示最近一次扫描详细情况，如所示，参数说明如所示。 图2 最近一次二进制成分分析扫描
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
