סקירת OSS קוד

מטרת הכלי: סקירת OSS Code Review מנתחת מאגרי קוד כדי להעריך ציות לרישיונות, מצב אבטחה, סיכון רישיונות ואיכות תוכנה בפרויקטי OSS. קהל היעד כולל מתחזקי תוכנה, מהנדסי אבטחה, צוותי ממשל ומיישמי CI/CD שמעריכים תלות מועמדת, PR או גרסה חדשה. הוא משמש בבדיקות לפני מיזוג, אכיפת מדיניות או ביקורות תקופתיות כדי לחשוף ממצאים מעשיים לפני שהשינויים יגיעו לייצור.
ליבה והפונקציות: יצירת SBOM (Software Bill of Materials), זיהוי רישיונות באמצעות מיפויים התואמים SPDX ומתאמת CVE-התראות. מחשב ציון סיכון ומדגיש רכיבים בעדיפות גבוהה. דרישות: גישה למאגר, מפענחים לפי שפה, מנוע כללים ודוחות ייצוגיים. יכולות מתקדמות (אופציונלי): תבניות מדיניות מותאמות, סריקות מדורגת/חלקיות, אינטגרציה ל-CI, הנחיית Remediation dashboards בין מאגרי קוד. הערך הייחודי: ממשל משולב—משולש licenses, security posture ואיתותי mantenibility בפעולה אחת, הקיצור זמן מעגל עבור סקירת ציות.
קלט/פלט: קלטים: repository_url (מחרוזת, חובה), target_branch (מחרוזת, אופציונלי, ברירת מחדל: main), access_token (מחרוזת, אופציונלי), authentication_type (מחרוזת, אופציונלי), languages (מערך, דוגמת [JavaScript, Python]), include_paths (מערך, אופציונלי). פלטים: summary_report (אובייקט) עם risk_score ו-issues, licenses_map (אובייקט), remediation_steps (מערך) ו-SBOM אופציונלי (JSON מהסוג SPDX). אימות: יש לוודא שהמאגד זמין, טוקנים תקפים ותומכים בשפות שזוהו; אם לא, יוחזרו תוצאות חלקיות עם אבחון.
אלגוריתמים וחישובים: SBOM, זיהוי רישיונות via SPDX, בניית גרף תלות, התאמת סבירות מתוך CVE, והערכת Maintenability. Risk_score הוא שילוב משקלים: 0.4 לרגישות licenses + 0.5 לרגישות אבטחה + 0.1 לרגישות maintainability, מעוגל לשלם. תוצאות כוללות הדגשת סיכון לכל רכיב והמלצות Remediation.
שגיאות וקצוות: טיפול בנתונים חסרים או invalid, מאגרים פרטיים, תוקפים פגי תוקף, מגבלות API וחוסר זמינות נתונים חיצוניים. תמיכה בשפה חלקית תספק סריקות חלקיות with diagnostics. מאגר פרטיים דורש טוקנים תקפים; תקלות רשת יגרמו לקודים מובנים של שגיאה ואזהרות, ללא הודעות UI.
אינדסטרי/אזור ולוקליזציה: עומד בתקני SPDX ופורמטי SBOM. תומך באקוסיסטמות OSS נפוצות וספקי אירוח Git (GitHub, GitLab, Bitbucket). לוקליזציה טקסטואלית; מדדים נומריים על סקלה 0–100 עם תוויות אנגלית.
הנחות והפקה: מניח גישה לנתוני המאגר ועידכוני advisories; אין כל פעילות הרצת קוד בזמן ריצה, ניתוח דינמי או שינויי קוד משולבים. אינו בדיקה משפטית של ליגנס; חושף הפרות מדיניות לעיון אנושי gating CI.