用Artifactory和Xray阻止下载

没有人想生病，所以我们会在天气变冷时穿上夹克，补充维生素C，避免湿着头发在雪地里外出。为了远离讨厌的病毒和细菌，我们都做了不同的事情，因为我们知道，生产力的损失和恢复身体系统所需付出的努力，比我们一直采取的这些预防措施要沉重得多。

检测安全漏洞，使您的系统不会“感冒”

软件系统也是如此。如果一个带有已知问题或漏洞的工件进入了您的生态系统，那么您将需要花费一定的代价来消除它。当然，现在有了JFrog Xray，您就可以检测安全漏洞、性能问题甚至您定义的自定义问题，但如果您只在已经使用这些问题时才检测它们，那么您将有一些工作要做。您的组件已经经过了X开发和QA周期，您可能刚刚准备好发布到生产环境中，然后有人记得Xray在几周前暴露了一个依赖项中的安全漏洞。哎呀，停止开发，找到一个替代组件，重构代码，开发- qa -重复- x次，你花了几周时间才使代码再次良好。如果你能避免这种情况不是很好吗?现在你可以了!

预防胜于治疗

到目前为止，这些事情都是手动处理的。当工件下载到远程存储库缓存时，Xray将被触发以运行扫描，如果检测到任何问题，DevSec工作人员将得到通知。然后您必须决定是否发布用于下载的工件，并手动进行管理。JFrog Artifactory的最新版本允许您将DevSec排除在循环之外。现在，您可以自动阻止Xray检测到安全漏洞的工件的下载。

有两个级别的保护。首先，您可以指定引入Artifactory的工件(无论它们已缓存到远程存储库中，还是已上载到本地存储库)在被索引并通过Xray扫描之前不能下载。这类似于信用卡公司在给你发放信用卡之前进行的背景调查。类似地，在对工件进行背景检查(x射线扫描)之前，您不希望给工件任何可下载的信用。

第二级保护使您能够更好地控制应该阻止哪些工件。在工件中发现的问题按严重程度分级:次要、主要或严重。并不是每一个小问题都是你的交易破坏者。这是你可以控制的。当问题暴露时，您将收到通知，但在有机会进一步调查问题之前，您可能不希望立即停止开发。相反，很有可能您会想要阻止任何有关键问题的工件，而您的开发人员将不得不寻找其他东西。因此，如果Xray检测到问题，您可以指定想要阻塞工件的严重级别。

无论您选择使用哪一种设置，只要您设置了它们，Xray就会被触发扫描整个存储库，因此任何没有通过信用检查的组件都将立即被阻止。

为了避免让开发人员对他们为什么空手而来感到困惑，Artifactory在树浏览器中显示了一个关于被阻塞工件的通知，并为由于工件被阻塞而失败的REST API调用提供了一个有用的错误消息。

因此，Xray和Artifactory是你软件系统的外套、羊毛帽子或膳食补充剂。他们是不知疲倦的哨兵，防止任何未经检查的、可疑的和潜在有害的工件接近您宝贵的生产系统。通过下载阻止，您的系统可以预防人工制品疾病，因此您可以信任它们以最佳状态运行并执行它们应该执行的任务。这一切都是在后台自动发生的，你不需要动一根手指。

额外的资源:2022世界杯阿根廷预选赛赛程
阅读Log4j Log4shell的脆弱性