对于IT从业者来说，Marc Andreessen 十年前提出“软件吞噬世界”的观点早已耳熟能详。无论是私人生活还是公共领域，软件为现代社会的方方面面提供动力，对现代经济和国家安全至关重要。
开源已经吞噬软件世界也是近几年非常流行的观点。Linux 基金会曾预测自由开源软件（FOSS）占现代软件的70%~90%。不仅仅是现代软件由大量的开源组件构成，而且 IT 行业的从业人员也更愿意与给开源社区做贡献的供应商合作。
由于开源软件灵活、低成本、通过社区项目推动创新的特性，它们被广泛使用，而由于多人协作参与从而项目可以获得更好的安全性，对于大型开源项目而言更是如此。尽管如此，开源软件也有其自身的问题，包括受影响代码的常见漏洞和暴露（CVE）。
CVE是 MITRE 的一个项目，致力于 “识别、定义和分类公开披露的网络安全漏洞”。然而，CNCF 在其软件供应链最佳实践白皮书中指出，CVE 是“事后指标”，即它们所列举的漏洞都已经被公开披露。它们也只是与软件相关的风险的一种类型。
出于这一原因，组织应该使用其他方法来评估他们所使用的开源项目的安全状态。最著名的项目之一是开源安全基金会（OpenSSF）的 Scorecards 项目。
项目地址：https://github.com/ossf/scorecard
Scorecards 旨在为开源项目自动生成安全指数来帮助项目的使用者和组织做出风险知情的决策。企业正在大量使用开源依赖项，但确定这些依赖项风险仍是一项手动工作。Scorecards 项目旨在采用自动启发式（automated heuristics）和安全检查来减轻负担，最终在0到10的评分表上生成安全指数。它在评估开源软件项目的安全问题时，与安全领导者倡导的最佳实践（如签名或SAST）保持一致。
OpenSSF Scorecards对风险严重程度采用分层计分
Scorecards 可以基于直接依赖项扫描100万个最关键的开源项目，并定期将结果发布到公共数据集上。除了利用公开的数据集外，企业还可以使用 GitHub Action 对自己的 GitHub 项目运行 Scorecards，当 Repo 有变化时，GitHub Action 就会运行，并向这些项目的维护者提供告警。
Scorecards 项目使用【关键】【高】【中】【低】的评分标准，这也是大多数安全从业者所熟悉的标准。它还使用一个标准的检查列表，针对你的目标项目进行检查，无论是公开的项目还是原生使用的私有项目。
你还可以深入了解其中一些检查，包括基础的安全实践，如使用分支保护、加密签名发布以及存在未修复的漏洞。Scorecards 项目采用 OSV 漏洞数据库（osv.dev）来检测未修复漏洞的存在。这是一个为开源项目设计的分布式漏洞数据库，它采用OpenSSF OSV 格式。OSV的核心是聚合使用OSV模式的其他漏洞数据库，如 GitHub Security Advisories 和全球安全数据库等。OSC还支持API和命令行界面（CLI）工具，用于扫描 CycloneDX 或 SPDX 格式的 SBOMs。
Scorecards 项目有双周会和 Slack channel。它由来自谷歌、Datto和思科等公司的工程师主导，自成立以来已经有近3000颗star，还有用户将其添加至收藏夹。随着企业继续推动其开源软件采用治理实践的成熟，该项目将不可避免地越来越受到青睐。
当前，企业对开源软件的治理和风险管理能力仍处于初级阶段。而近年来频发的软件供应链攻击事件将是一个巨大的推动力，促进企业加强软件供应链的安全实践。目前我们有 OpenSSF 安全动员计划、SLSA、《安全软件开发框架》（SSDF）以及其他最佳实践指南。所有这些都涉及到企业对开源软件使用的管理，并确保这种使用与企业对风险的容忍度一致。
尽管听起来很简单，但要在整个强大的开源项目和组件的生态中做到这一点是十分具有挑战性的。OpenSSF的Scorecards项目提供了一种自动化的方式来获得对超过100万个OSS项目的安全和风险洞察力，并将该项目直接用于他们自己的软件和内部的项目。
企业可以通过CLI对不属于他们的项目使用 Scorecards，也可以对 npm、Pypi 或 RubyGems 等项目使用软件包管理器。Scorecards 也可以作为 Docker 容器使用。
企业和个人开发者都可以参与该项目，包括提交需求检查，以便进行评分评估。组织也可以自定义使用 Scorecards，比如只运行特定的检查，或者与同行业的特定安全要求保持一致。
无论您是想搭建桌面端、WEB端或者移动端APP应用，HOOPSPlatform组件都可以为您提供弹性的3D集成架构，同时，由工业领域3D技术专家组成的HOOPS技术团队也能为您提供技术支持服务。如果您的客户期望有一种在多个平台（桌面/WEB/APP，而且某些客户端是“瘦”客户端）快速、方便地将数据接入到3D应用系统的解决方案，并且当访问数据时，在各个平台上的性能和用户体验保持一致，HOOPSPlatform将帮助您完成。利用HOOPSPlatform，您可以开发在任何环境下的3D基础应用架构。HOOPSPlatform可以帮您打造3D创新型产品，HOOPSSDK包含的技术有：快速且准确的CAD
C#实现简易绘图工具一.引言实验目的:通过制作窗体应用程序(C#画图软件),熟悉基本的窗体设计过程以及控件设计,事件处理等,熟悉使用C#的winform窗体进行绘图的基本步骤,对于面向对象编程有更加深刻的体会.Tutorial任务设计一个具有基本功能的画图软件**·包括简单的新建文件,保存,重新绘图等功能**·实现一些基本图形的绘制,包括铅笔和基本形状等,学习橡皮工具的创建**·设计一个合理舒适的UI界面**注明:你可能需要先了解一些关于winform窗体应用程序绘图的基本知识,以及关于GDI+类和结构的知识二.实验环境Windows系统下的visualstudio2017C#窗体应用程序三.
1.postman介绍Postman一款非常流行的API调试工具。其实，开发人员用的更多。因为测试人员做接口测试会有更多选择，例如Jmeter、soapUI等。不过，对于开发过程中去调试接口，Postman确实足够的简单方便，而且功能强大。2.下载安装官网地址:https://www.postman.com/下载完成后双击安装吧，安装过程极其简单，无需任何操作3.使用教程这里以百度为例,工具使用简单，填写URL地址即可发送请求，在下方查看响应结果和响应状态码常用方法都有支持请求方法:getpostputdeleteGet、Post、Put与Delete的作用get：请求方法一般是用于数据查询，
Ⅰ软件测试基础一、软件测试基础理论1、软件测试的必要性所有的产品或者服务上线都需要测试2、测试的发展过程3、什么是软件测试找bug，发现缺陷4、测试的定义使用人工或自动的手段来运行或者测试某个系统的过程。目的在于检测它是否满足规定的需求。弄清预期结果和实际结果的差别。5、测试的目的以最小的人力、物力和时间找出软件中潜在的错误和缺陷6、测试的原则28原则：20%的主要功能要重点测（eg：支付宝的支付功能，其他功能都是次要的）80%的错误存在于20%的代码中7、测试标准8、测试的基本要求功能测试性能测试安全性测试兼容性测试易用性测试外观界面测试可靠性测试二、质量模型衡量一个优秀软件的维度①功能性功
我最喜欢的Google文档功能之一是它会在我工作时不断自动保存我的文档版本。这意味着即使我在进行关键更改之前忘记在某个点进行保存，也很有可能会自动创建一个保存点。至少，我可以将文档恢复到错误更改之前的状态，并从该点继续工作。对于在MacOS(或UNIX)上运行的Ruby编码器，是否有具有等效功能的工具？例如，一个工具会每隔几分钟自动将Gitcheckin我的本地存储库以获取我正在处理的文件。也许我有点偏执，但这点小保险可以让我在日常工作中安心。 最佳答案 虚拟机有些人可能讨厌我对此的回应，但我在编码时经常使用VIM，它具有自动保存功
我在Ruby程序中有两个URI。一个肯定是绝对URI，另一个可能是绝对URI或相对URI。我想在第一个的上下文中将第二个转换为绝对URI，所以如果第一个是http://pupeno.com/blog第二个是/about，结果应该是http://pupeno.com/about.有什么想法吗？ 最佳答案 Ruby的内置URI和Addressablegem，做这个简短的工作。我更喜欢Addressable，因为它功能更全面，但URI是内置的。require'uri'URI.join('http://pupeno.com/blog','/
我正在尝试上传文件。一个简单的hello.txt。我正在关注文档，但无法将其上传到我的存储桶。#STARTAWSCLIENTs3=Aws::S3::Resource.newbucket=s3.bucket(BUCKET_NAME)begins3.buckets[BUCKET_NAME].objects[KEY].write(:file=>FILE_NAME)puts"Uploadingfile#{FILE_NAME}tobucket#{BUCKET_NAME}."bucket.objects.eachdo|obj|puts"#{obj.key}=>#{obj.etag}"endresc
我有一个Builder类，可让您添加到其中一个实例变量:classBuilderdefinitialize@lines=[]enddeflinesblock_given??yield(self):@linesenddefadd_line(text)@lines现在，我该如何改变它my_builder=Builder.newmy_builder.lines{|b|b.add_line"foo"b.add_line"bar"}pmy_builder.lines#=>["foo","bar"]进入这个？my_builder=Builder.newmy_builder.lines{add_li
在我的代码中，我使用自动加载进行惰性评估，这样我可以更快地加载程序并在需要时加载文件，我没有看到很多人使用它，但在Thin项目中我注意到自动加载已被广泛使用，反正只是想知道使用它是否有任何风险。 最佳答案 autoload是notthreadsafe并将在未来的Ruby版本中弃用。这是proofbyMatz(ruby的创造者)。 关于ruby-使用autoload与ruby中的require进行惰性评估？，我们在StackOverflow上找到一个类似的问题：
我有一个Highstock图表(带有标记和阴影的线条)，并且想以编程方式显示一个highstock工具提示，例如，当我选择某个表上的一行(包含图表数据)我想显示相应的highstock工具提示。这可能吗？ 最佳答案 股票图表thissolution不起作用:在thisexample你必须更换这个:chart.tooltip.refresh(chart.series[0].data[i]);为此:chart.tooltip.refresh([chart.series[0].points[i]]);解决方案可用here.
