代码安全学习手记(二):SCA 软件成分分析原理与 OWASP Dependency-Check 集成实战写在前面:上一篇手记里,我折腾了基于 Semgrep 的 SAST 静态代码安全扫描,解决了“自己写的代码里有漏洞”的问题。 但在整理项目依赖时,我发现了一个更严峻的事实:现代软件开发中,我们自己写的业务代码可能只占 10%~20%,剩下 80% 以上都是引用的第三方开源组件(npm、PyPI、Maven、Go Modules 等)。 Log4j2 漏洞(CVE-2021-44228)就是一个典型例子——业务代码一行没变,但依赖的第三方库有漏洞,整个系统就沦陷了。为了补齐这个安全短板,我决定深入研究 SC