SONATYPE LIFT - 一个统一的代码分析平台

最近推出的Sonatype Lift提供了一个统一的代码分析平台，包括超过25个工具，以帮助开发人员尽快确定其开发管道中的广泛错误。

SONATYPE LIFT与GitHub，Gitlab和Bitbucket集成，以报告其在附加到拉请求的对等审核中的分析结果。 SONATYPE说，这种行为是SONATYPE提升效率的关键，因为同行评审已被证明可以通过70倍提高错误修复率。

电梯包括超过25个工具，包括Google Errerprone，Facebook推断和许多其他语言，以及11种语言，包括Java，C / C ++，JavaScript，Python，Golang，Ruby，Kotlin，Haskell等。

除了分析您自己的代码库外，SONATYPE LEXY还通过从[SONATYPE的OSS索引]（SONATYPE的OSS索引]（https://ossIndex.sonatype.org）来屏蔽您依赖的开放源依赖关系。这是升降机可以报告易受攻击的开源库，并将其作为代码评论中的评论。

InfoQ已用Sypatype的产品创新副副总裁们用Stephen Magill讲话，了解更多。

INFOQ：SONATYPE LIFT与主要代码托管平台集成。它如何堆叠对象，这些平台提供帮助开发人员检测到错误和漏洞？开发团队的额外福利可以通过索文型提升采用获取？

Stephen Magill：与本机解决方案相比，索文型升降机提供更广泛的分析，更深入的智能和更可扩展的选择，旨在帮助开发人员检测到错误和漏洞。 SONATYPE LIFT标志旗帜范围更广泛的问题，除了跨越线程安全问题和资源泄漏等文件的表面微妙和高冲击错误之外，还超出了简单的暗示。

InfoQ：Devsecops和Shiftleft与软件开发团队变得更加流行。尽早捕获错误和漏洞是改善系统的关键。您能评论当前的软件安全上下文吗？

Magill：SONATYPE LEXT建立在将换档码分析的前提下，并将安全性带入开发人员工作流程，因此这些术语正常应用。升降机是关于找到和修复各种各样的错误，包括安全性，并且以一种使开发人员最容易修复的方式。我们认为，获得开发人员的互动权是转向剩余的有效努力的重要组成部分，并且在正确的时间（编写代码后，右转）的正确结果（开发人员关心的错误）和在正确的上下文中（在代码审查中呈现为评论）。此组合已被证明可以在不影响发展速度的情况下提高错误修复率。

为开发人员建立了升力，因此侧重于低误率和突出显示开发人员进行分类和修复的错误。升降机并不意味着替换静态应用安全测试或安全特定的分析工具，这些工具是为具有时间，专业知识和愿望对代码发布进行更全面的审查的安全团队构建的。相反，通过在过程早期解决可以修复的高信N信心安全问题的子集，提升乐队工具，使开发人员更高的质量代码和稍后在SDLC稍后的问题。这实际上使Sast Tools更有价值，因为它使安全团队能够专注于仍然存在的复杂和可能的微妙问题。

InfoQ：软件供应链的其他领域是索申贴在其产品系列的索拳？

magill：sonatype迎合了完整的软件供应链。我们的使命是为开发人员完全控制他们的软件开发生命周期，为第三方开源代码，第一方源代码，基础架构作为代码（IAC）和集装箱代码的工具。我们的Nexus平台广泛应用于财富1000家公司，专注于帮助开发人员管理开源风险，因此他们可以更快地创建更好的软件。该平台包括最受欢迎的工件存储库之一 - Nexus存储库和Nexus Lifecycle和Nexus防火墙的一流软件组成分析Duo。我们特别为依赖机器学习，AI和行为分析的新型预警检测系统感到特别自豪，以识别潜在恶意和可疑的开源组件，并防止他们进入某人的SDLC。

InfoQ：索音升降路线图上有什么＆＃39;产品将如何在不久的将来发展？

Magill：为代码质量提供广度和深度策略，它始终是一个困难的平衡，但我们对索型升降机的兴趣兴奋，并认为我们都可以做到这两种。有许多不同的生态系统开发人员编写代码，我们只是刮伤了表面。这是我们专注于 - 扩展的最大领域。

我们继续添加新工具来涵盖更多语言和错误类别，使任何开发团队能够从平台获取价值，无论它们是在主流语言中的一系列业务应用程序，开发部署和基础架构脚本或迭代数据科学笔记本。

我们还将添加新的存储库主机以使更多开发人员提供升力。我们将继续开发我们的指标和学习能力，以改善结果，帮助团队提高代码质量和发展效率。最后，我们将在提升和Nexus之间集成能力，以进一步提高运行全套索文型产品套件的客户的洞察力和功能。

我们计划利用多年的经验SONATYPE在企业规模支持软件安全实践方面，以提升新的高级功能，以提升客户，如富有洞察力的报告，修复建议和与其他服​​务的强大集成。

SONATYPE LEXE免费用于公共存储库，并为私人呼气提供优质代码。

每年，我们寻求读者的反馈帮助我们改善InfoQ。您可以介意2分钟在短期调查中分享您的反馈吗？您的反馈将直接帮助我们不断发展我们如何支持您。

最后一周的内容在InfoQ上举行了每周二发出的。加入超过250,000多名高级开发人员的社区。 查看一个例子

选择您的国家/地区，我同意infoq.com处理我的数据，如本隐私声明中所述。