何為開源？
開源，顧名思義，即開放軟件源代碼。貢獻者可將自己編寫的程序提交到公開的平臺上，其他開發者可以不必再自己動腦筋編寫代碼，而是直接將貢獻者公開的代碼進行集成、修改或應用。與傳統的閉門造車模式相比，開源這一生態模式無疑極大地提高了生產效率，適應了現代開發市場快速更新迭代的需求。
蓬勃發展：開源技術的黃金時代
根據Synopsys最新發布的統計數據顯示，開源技術的應用已經遍布金融服務、金融科技、大數據、AI、健康科技和生命科學等多個領域，平均占比達到95%左右。
開源技術的廣泛應用與開源項目的飛速發展相輔相成。根據中國信通院發布的《2021開源生態白皮書》數據顯示，近三年全球開源項目數量連續增長率超過40%，項目總數已超過兩億；而國內開源項目數量更是呈爆發式增長，2020年Gitee平臺上的開源項目數量已高達1500萬，同比增長率192%。
雙刃劍：開源技術的風險性
開源技術飛速發展的另一面，是層出不窮的風險問題。開源項目的數量增長同時也意味著漏洞數量的劇增，84%的代碼庫包含至少一個漏洞，同時，利用開源軟件漏洞發起的供應鏈攻擊頻頻發生，2021年末爆發的的Log4j 安全漏洞堪稱互聯網領域最為著名的安全事件之一，因其影響面廣、破壞力強而備受關注。有超過35,863個JAVA開源軟件中所使用的開源組件依賴于 Log4j，根據云安全專家評估，每秒有超過 1000次利用Log4j漏洞的嘗試。根據相關調查，有73%的企業表示，近期的軟件供應鏈攻擊促使他們“大大加強了對開源軟件、容器鏡像和第三方軟件組件的安全保護”。
除去漏洞風險，開源軟件使用過程中的合規風險也不容忽視。盡管開源軟件以自由、共享、開放為宗旨，但每個開源軟件都會附帶一個許可證，開源軟件的使用必須遵循許可證條款的約束。如果違反了許可證的條款，就會面臨被起訴或索賠等法律及合規風險。
2021 年 4 月 30 日，中國國內首個明確 GPL3.0 協議具有法律效力的案例塵埃落定，原告羅盒公司于2017年獲得了Virtual App的軟著證書，隨后將其許可證協議由LGPL v3更換為GPLv3，但被告未遵守變更后的著作權要求，導致被判侵權并罰款。
如果不同的開源軟件許可證被同時使用，還會因條款的沖突而存在兼容性風險。據統計，54%的代碼庫包含存在許可證沖突的開源代碼。除此之外，許可證的缺失也是一大風險，1/3的代碼庫使用了沒有可識別許可證或具有定制許可證的代碼，這些代碼看似可以自由使用，背后其實暗藏了違反版權法及合規條款的風險。
正確使用：如何保證自己的代碼質量安全？
針對開源技術存在的兩大風險，第一就是要保證代碼的安全性，及時排查是否有危險漏洞的存在，并第一時間修復；第二在使用開源代碼時，一定要先明確其開源許可證的條款要求，避免在開發及投入使用的后期階段面臨被起訴等法律合規風險；第三，要時刻保持軟件安全的風險意識，定期排查風險情況，才能確保整個開發過程的平穩運行。
當然，要做到上述三點，光靠開發者自己進行手工管理肯定是不夠的，在編寫代碼的同時還要做到全面的安全管理，需要投入大量的時間和精力，往往還會出現事倍功半的效果。所以，在做好代碼安全管理這件事上，推薦大家學會運用技術工具，不僅可以提高風險排查的效率，也可以避免人工管理出現的錯誤遺漏等情況。
例如軟件成分分析工具，具有漏洞掃描、合規風險感知、新風險預警等多項功能，就可以很好地幫助開發者檢測代碼質量，保證代碼安全，為開發過程降本增效。
軟件成分分析平臺效果圖
提升代碼安全的風險意識，規范化使用開源代碼，是安全合規地使用開源軟件的根本保障。
