现如今，安全漏洞日益困惑着大中型开源软件。依据 RiskSense 的数据统计，与 2018 年对比，2019 年开源软件系统漏洞的数目提升了一倍多。充分考虑近 91% 的商业服务应用软件包括落伍或丢弃的开源系统部件，因而安全漏洞的直接影响是广阔的。
做为开源软件小区的一员，Google 十分清晰手机软件供应链管理进攻对开源软件组成的危害日益比较严重，而 Allstar 是其提升安全性能的全新专用工具。
Allstar 是一款为 GitHub 新项目给予自动不断执行安全性最佳实践的应用软件。这一款新使用的基本工作原理是让 GitHub 代码库中的新项目使用者可以检查安全策略的遵循状况，设定需要的执行实际操作，随后在项目库中的设定或文档产生变动等状况时不断执行这种实际操作。
Allstar 是另一个一样由 Google 维护保养的开放源码专用工具 Scorecards 的配套设施商品，Scorecards 可以自动评定一切 GitHub 库房以及依靠的风险性。Scorecards 会检查例如新项目是不是应用支系维护、数据加密签字公布产品工件或必须编码核查等研讨式方式，并为每一个类型转化成一个评定后的成绩，协助客户掌握哪几个方面很有可能必须改善。
Allstar 则可以在这个基础上开展接手，给新项目维护者给予一个更简洁的办法来完成特殊安全性检查的自动执行。因而，假如一切版本库沒有根据安全性检查，Allstar 便会自动干预，并开展它觉得需要的修补，以彻底解决这个问题。根据这一程序流程可以让开发者解决每日反复的检查与修补工作中。
Allstar 原始安全策略检查/执行包含：
- 支系维护(对于没经许可的获取要求、强制性消息推送等);
- SECURITY.md 文档的存有，在其中包括用以承担责任的系统漏洞公布的界定对策;
- 对外界合作方执行特殊规定(例如，具备库房管理权限的客户务必是机构内组员);
- 假如在储存库文件发觉二进制产品工件，则开展检验并发送报警;
现阶段 Allstar 可以执行的安全策略检查总数还非常比较有限，Google 方案在未来好多个月内逐渐发布大量的对策 —— 包含冻洁依靠和自动升级依靠。
Google 高级项目经理 Mike Maraya 表明：“简单点来说，Scorecards 协助开发人员考量新项目现阶段的安全防护情况与要想做到的终极目标，而 Allstar 则协助你达到总体目标。Allstar 仍处在开发设计的前期环节，因而大家热烈欢迎大伙儿积极主动应用并在小区给予意见反馈。”
有兴趣的开发人员可以浏览 Allstar 的 GitHub 网页页面掌握更多的详细信息。
文中转自OSCHINA
本文文章标题：Google 开源系统 Allstar ，为 GitHub 新项目不断执行最好安全性实践活动
文中详细地址：https://www.oschina.net/news/155179/google-open-source-allstar