capslock

Capslock 是一个针对 Go 包的能力分析 CLI，用于告知用户某个包可以访问哪些特权操作。其原理是通过跟踪对特权标准库操作的传递调用来对 Go 包的能力（capabilities）进行分类。 近年来针对开源软件的供应链攻击日益增多，这凸显了第三方依赖不应被天然信任。能力（capabilities）表明包可以访问哪些权限，并且可以与其他安全信号结合使用，以指示哪些代码在可以被视为可信之前需要额外的审查。 什么是能力？ 当前的安全分析很大程度上专注于识别包中的漏洞——考虑到新 CVE...