GitHub 這篇文章介紹「軟體組成分析」（software composition analysis，SCA），是一種資安流程，用來辨識並管理軟體專案裡用到的開源套件，掃描這些依賴套件是否有安全漏洞、授權問題，或版本過舊。文章指出，現在的程式碼有高達 94% 是由第三方開源元件組成，靠人工一個一個檢查根本不可行，所以需要 SCA 這種自動化工具。
文章把 SCA 的運作拆成六個步驟：先用程式碼掃描工具分析應用程式，接著用兩種方式偵測元件，分別是掃描原始碼清單的靜態 SCA，以及掃描執行期二進位檔的動態 SCA；然後產生一份「軟體物料清單」（SBOM），記錄所有依賴套件、版本與授權資訊；再拿這份清單去比對公開與私有的 CVE 漏洞資料庫；接著依照合規政策把找到的問題依威脅程度排序；最後提供修復建議。
文章提到 SCA 的好處包括找出漏洞與過時元件、確認授權合規、用自動化測試取代人工檢查、提升軟體供應鏈的可見度，也強調 SCA 在雲原生開發與 CI/CD 流程裡愈來愈必要，是「左移」（shift left）資安概念的一部分。文中還舉 GitHub Advanced Security 為例，稱這類工具能讓修復速度快上 7 倍。
這篇文章偏產業與資安面，對還在學程式的孩子來說比較抽象，但有個很實用的觀念值得提早知道：只要你的程式用到別人寫好的套件（不管是 npm、pip 還是其他套件庫），就要留意這些套件本身有沒有漏洞，不是自己的程式碼沒問題就代表整個專案安全。
資安開源開發工具