Velonus：一款能去重SAST噪音的开源应用安全扫描器
静态应用程序安全测试（SAST）常因产生大量冗余警报而导致“警报疲劳”，使开发者难以聚焦高危漏洞。Velonus 是一款开源的 AppSec 扫描器，其核心创新在于引入去重机制，有效过滤 SAST 扫描中的噪音数据。通过精准识别唯一漏洞而非...
标签索引
DevSecOps
这个标签下有 9 篇文章。按时间回看相关判断与实践记录。
标签精选
相关内容
严重安全漏洞：Composer 致 GitHub Actions 令牌意外泄露，请立即更新
PHP 依赖管理工具 Composer 曝出严重安全漏洞。由于 GitHub 推出了包含连字符的新版 Token 格式，Composer 的旧版正则验证逻辑无法识别，导致在验证失败时，竟将完整的敏感 Token 以明文形式打印到构建日志中。...
"Vibe Coding" 时代的隐忧：如何兼顾 AI 开发效率与云端密钥安全？
随着 AI 辅助编程（Vibe Coding）的普及，开发者独立项目的门槛大幅降低，但随之而来的密钥管理问题日益凸显。一篇技术讨论指出了当前开发者的痛点：为了追求效率，项目涉及大量云服务器、数据库及 API 密钥，传统的 .env 文件方案...
无需修改代码，这款K8s Operator能自动剥离日志中的敏感信息
开发者发布了升级版日志脱敏工具Pii-shield，将其重构为Kubernetes Operator。该工具利用Shannon熵和Luhn算法，能自动识别并清除API密钥、信用卡号等敏感数据。新版本通过Mutating Webhook机制，...
Stacklok 发布 Frizbee：一种为软件标签生成校验和的安全验证工具
由 Kubernetes 联合创始人创办的 Stacklok 公司推出了名为 Frizbee 的新工具，旨在解决软件供应链中版本验证的难题。该工具的核心机制是接收一个版本标签（如 Docker 或 Git 标签），并返回其对应的加密校验和。...
耗时仅0.03秒：Rust打造极速本地安全扫描器Foxguard
Foxguard 是一款由 Rust 编写的超高速本地安全扫描器，专为解决传统安全工具扫描慢、阻塞开发流程的痛点而设计。相比 Semgrep 等工具动辄数秒甚至数十秒的耗时，Foxguard 仅需 0.03 秒即可完成扫描，速度提升百倍。它...
安全警报：Trivy 官方版本遭供应链投毒，恶意代码直指密钥管理服务
知名开源安全扫描器 Trivy 遭遇严重的供应链攻击。攻击者成功入侵其发布流程并在 v0.69.4 官方版本中植入了恶意软件。该恶意变种不仅能窃取基本的环境变量，还专门针对 AWS Secrets Manager 和 HashiCorp V...
Layerleak：专为 Docker Hub 打造的秘密扫描利器，堪比 Trufflehog
针对 Docker 容器镜像中普遍存在的敏感信息泄露问题，开发者推出了名为 Layerleak 的开源安全扫描工具。尽管业内常警告 Docker Hub 上的公开镜像包含 API 密钥、密码等“秘密”，但此前缺乏专门针对此场景的高效检测工具...
Pipelock：给AI编码代理装上“安全阀”，防止密钥泄露与Prompt注入
随着 Claude Code 和 Cursor 等 AI 编程代理的普及，AI 工具获得了 Shell 权限和 API 密钥，面临极高的 Prompt 注入和密钥泄露风险。开源工具 Pipelock 通过创新的“特权分离”架构解决此问题：它...