【发布时间】：2018-03-12 15:56:48
【问题描述】：
我确实有一个 CI/CD 管道来将我的 Spring Boot 应用程序部署到 PCF。它确实有一个作业来调用 shell 脚本以部署到 PCF 环境。我如何确保它不会安装恶意软件，以免黑客将其搞砸。 欢迎提出任何想法/建议。
【问题讨论】：
【发布时间】：2018-03-12 15:56:48
【问题描述】：
有两种查看方式（据我所知）：
首先是您的 CI/CD 管道构建和部署您的应用程序，因此除非您将恶意软件添加到您的应用程序（可能是由于依赖于库的受损版本而无意中），否则它不会' t 部署恶意软件。
第二个是您绝对可以将自动安全检查添加到您的管道中，例如通过与静态或动态恶意软件扫描程序集成。您可以在部署之前的某处将其作为管道中的一个阶段，如果扫描程序检测到恶意代码，该阶段会使管道停止并失败。
（请注意，某些基于云的恶意软件扫描程序，例如 virustotal，会将所有上传的文件提供给其服务的所有订阅者，这在某些情况下可能是不可接受的；请务必先阅读并理解扫描程序的服务条款你用它）。
【讨论】：
-
感谢您的回复。我更倾向于您提到的第二种选择。是否有任何可用作开源的恶意软件扫描程序。
-
@RajeshBhojwani 有 ClamAV。不知道它有多好。