LunaTrace

LunaTrace 是一个开源的供应链安全审计工具。其核心是一个 Web 控制台，用于跟踪您的项目及其依赖项，查找漏洞及其他问题。该控制台以 SaaS 形式提供（在此免费获取），您也可以自行部署和管理。

更多信息请参阅 LunaTrace 文档。

简短介绍视频

仓库结构

我们是一支安全工程师团队，致力于打造出色的开源应用安全工具。所有代码都存放在这个单体仓库中，以下是各部分内容的说明。

• LunaTrace：GitHub Dependabot 或 Snyk 等服务的免费替代品，可自动监控您的依赖项是否存在漏洞。它能自动与 GitHub Pull Request 集成，在新 CVE 出现时立即通知您，在部署到生产环境之前 即可获知风险。通过我们的 GitHub App 一键试用。
  • 状态：生产就绪，正在积极开发（我们的主要关注点）。
• Log4Shell CLI：用于扫描 Log4Shell 的小型命令行工具。还支持针对 Log4Shell 修补 JAR 文件、扫描系统正在运行的进程等功能。请参阅我们的缓解指南了解更多背景信息。
  • 状态：生产就绪，已被数千家公司使用。已被 LunaTrace 取代。
• 我们的安全博客：我们在互联网上的随想。我们在此报道了 log4j 漏洞，并命名为 Log4Shell。博客代码位于此仓库的 /docs/blog 下，欢迎贡献内容！
  • 状态：持续更新，欢迎提出撰写特定主题的请求。
• LunaDefend：一套端到端的安全软件套件，围绕 Tokenization 构建，旨在_主动_保护您的敏感数据免遭攻击，并为通过合规审计（SOC2、GDPR、PCI-DSS 等）提供更便捷的路径。
  • 状态：不再维护（但欢迎提交 Issue）。

支持

如果您遇到困难、缺少某个功能，或只是想澄清疑惑，请加入我们的 Discord 社区与我们交流。

我们是一个小团队，始终欢迎更多关于我们能帮助解决哪些问题的反馈。因此，我们恳请您花一点时间试用 LunaTrace，如果喜欢，请与同事和朋友分享。我们构建更好安全工具的使命中，最困难的部分仅仅是让人们意识到它们的存在！

贡献

我们欢迎社区贡献，贡献要求已在此处文档化。

如果您想贡献想法或反馈，可以通过提交 GitHub Issue 或在 Discord 上与我们交流。

另请参阅

有关 LunaSec 的更多信息（包括教程、示例和技术细节），请访问我们的文档。
关于营销信息、销售或联系，请访问我们的网站：https://www.lunasec.io/。

本 ReadMe 的其余部分介绍了如何参与 LunaSec 本身的工作。如果您只是想使用 LunaSec，请参阅文档。

贡献

在 Fork 并提交 Pull Request 之前，请先阅读我们的贡献者说明。内容简短，如果您将参与 LunaSec 的开发，会非常有帮助。

反馈

我们的目标是创建一个可持续的业务来支持 LunaSec，同时建设开源社区。如果您对如何改进我们的方法有任何想法，我们很乐意听取您的意见。

请发送电子邮件至 developer-feedback at lunasec dot io 或 在此仓库中提交 Issue。

发布流程

发布流程将由我们的 CI/CD 系统自动处理。

在内部，发布流程分为四部分：

1. 版本号提升
2. 编译制品
3. 发布制品
4. 将版本标签推送到仓库

将流程分解可确保每个步骤在进入下一步之前无错误完成，从而大大减少部分制品已发布而其他部分未发布的情况，避免调试发布时的麻烦。

发布部署由 GitHub Actions 执行。

版本

发布版本号管理由 lerna 负责。

编译

由于单体仓库同时包含 Go 和 Node 代码，编译需要在多个位置进行。对于 Node SDK，每个包都有自己的编译 package.json 脚本，并在运行时执行。入口点在此处调用每个包的脚本。对于 Go 代码，所有编译代码都位于 Makefile 的 release 目标中。

发布

对于 Node 制品，所有操作由 lerna 处理。对于 Go，发布由 Makefile 的 publish 目标处理。制品最终发布到 NPM、DockerHub 和 GitHub。

推送

推送的版本标签包含提升后的单体仓库版本变更。以下是示例提交。