Безопасны ли банки Maven?

Question

Как я могу убедить своего работодателя, что банки из репозиториев Maven безопасны для использования? Я провел подсчет JAR-файлов в своем локальном репо, и он вернулся как 552. Моя цель - создать корпоративный репозиторий с утвержденными JAR-файлами, но я бы не хотел отправлять сотни и, в конечном итоге, тысячи запросов программного обеспечения. какие-либо предложения (кроме как найти новый emp)?

Answer 1

Как я могу убедить своего работодателя, что банки из репозиториев Maven безопасны для использования?

Загрузка банки из репозитория Maven не менее безопасна, чем загрузка банки из другого места. Другими словами, репозитории Maven на самом деле не представляют проблемы, проблема в том, что вы зависите от внешней библиотеки.

Теперь, если ваш начальник действительно параноик, он всегда может попросить вас захватить источники ваших 552 банок, построчно проверить их, собрать их и установить в хранилище утвержденных банок. Это "просто" обойдется ему в несколько долларов:)

Но поскольку большинство проектов имеют открытый исходный код, поскольку они прозрачны, так как многие глаза могут их осмотреть, я лично считаю, что любые вредоносные атаки будут обнаруживаться довольно быстро и что стоимость не стоит риска (а это довольно мало). Может быть, я слишком доверяю сообществу, но пока это работает.