有没有针对脚本/库做安全检测的工具/网站

[OldCarMan]

rt ，平时部署开发环境或者使用一些工具库时，如何保证这些脚本是安全的？

现在网上有类似以下这类检测网站 /工具吗？

• 查询某个库查询是否关联病毒

• 查询某个库是否存在漏洞

• 脚本检测网站，就像软件安全检测网站一样，可以输入一段脚本 /或贴个脚本地址，然后自动检测该脚本的安全性，最好有具体报告的。

• 检查某个开源仓库是否安全

• PS:哈哈，当然现实中这方面安全需求可能大部分交给运维去解决，但是平时自己部署开发环境或者小公司小团队来说，个人觉得还是有必要的。先谢谢大家回复啦！

[zzznow]

sca ？

[learningman]

供应链安全的话，GitHub 的 Dependabot alert ，这种应该挺多的
二进制可以 virusTotal 扫一下试试
脚本可以直接看吧，混淆了的也没必要用

[OldCarMan]

谢谢回复。
@zzznow 你说的是指 software composition analysis ？大佬有相关的工具推荐吗？
@learningman 嗯嗯，👍

[tardc]

SCA 软件可以。
https://github.com/google/osv-scanner
https://github.com/murphysecurity/murphysec

[OldCarMan]

@tardc 谢谢