وقتی درباره یک کتابخانه هشدار می‌رسد، دانستن هش فایل مدل جواب نمی‌دهد کدام برنامه درگیر است. یک گراف وابستگی لازم دارید که سرویس، بسته واسط و جزء نهایی را به هم وصل کند. این راهنما برای تحلیل اثر هشدار روی اجزای نصب‌شده است؛ موضوع آن دانلود امن یا تشخیص اصالت وزن نیست.
گراف را با نسخهٔ نصب‌شده بسازید
برای هر جزء یک شناسه پایدار و نسخه دقیق ثبت کنید و رابطه «وابسته است به» را به صورت یال نگه دارید. فهرست نام بسته‌ها بدون رابطه، مسیر اثر را نشان نمی‌دهد. محیط آزمایش و تولید باید گراف جدا یا برچسب محیط روشن داشته باشند؛ بسته موجود در لپ‌تاپ توسعه را خودکار جزء تولید ندانید.
در کنار رابطه، شاهد نصب را از manifest یا فایل قفل همان نسخه بگیرید. جزء مستقیم و غیرمستقیم هر دو مهم‌اند. SBOM می‌تواند موجودی را قابل انتقال کند، اما به تنهایی ثابت نمی‌کند آسیب‌پذیری در اجرای شما قابل بهره‌برداری است. بررسی مسیر استفاده و پیکربندی مرحله بعد است.
پرس‌وجوی اثر با دادهٔ بی‌خطر
گراف ساختگی همراه، چهار رابطه دارد. chat-api به parser-kit و آن به text-core وابسته است. report-job نیز text-core را مصرف می‌کند و image-job فقط picture-kit را دارد. هشدار TRAINING-ALERT-01 صرفاً نام آزمایشی برای text-core نسخه۱ است؛ شناسه CVE و گزارش رخداد واقعی نیست.
edges = [("chat-api", "parser-kit"),
("parser-kit", "text-core@1"),
("report-job", "text-core@1"),
("image-job", "picture-kit")]
affected = {"text-core@1"}
while True:
more = {a for a, b in edges if b in affected}
if more <= affected: break
affected |= moreنتیجه گسترش معکوس شامل جزء، parser-kit، chat-api و report-job است. image-job در این گراف مسیر ندارد. این فقط دامنه بررسی را تعیین می‌کند؛ نمی‌گوید هر سه جزء بالادستی حتماً آسیب‌پذیرند. برای هر مسیر، رسیدن داده غیرقابل اعتماد و استفاده از قابلیت محل هشدار را جدا بررسی کنید.
از فهرست اثر تا اقدام
مسئول سرویس، نسخه اصلاح‌شده نامزد و آزمون بازگشت را ثبت کند. اگر سرویس در حال حاضر جزء را فراخوانی نمی‌کند، دلیل این تصمیم با شاهد پیکربندی نگه داشته شود؛ برچسب بدون اثر را فقط از نبود خطای گزارش‌شده نتیجه نگیرید. پس از ارتقا، گراف تازه تولید و مسیرهای قبلی دوباره پرس‌وجو شوند.
کاربرگ CSV هر یال را یک ردیف ثبت می‌کند. برای گراف بزرگ‌تر، چرخه وابستگی و چند نسخه هم‌نام را نیز در نظر بگیرید. الگوریتم نمونه با مجموعه بازدیدشده از حلقه بی‌پایان دور می‌ماند، اما ابزار مدیریت آسیب‌پذیری کامل نیست. هیچ مدل، سرویس یا نسخه واقعی در این مثال آسیب‌پذیر اعلام نشده است.
کاربرگ همراه و منبع
دریافت CSV اختصاصی این راهنما؛ تمام رکوردها و شناسه‌های کاربرگ ساختگی‌اند. مقادیر نمونه را به داده یا نتیجه واقعی مشتری تعبیر نکنید.
SPDX: نمایه امنیت و روابط آسیب‌پذیری. منابع در ۱ نوامبر ۲۰۲۶ خوانده شدند؛ مثال و الگوی اجرایی بالا پیشنهاد آموزشی تحریریه است، نه تأیید قابلیت محصول.
اگر این مسئله در مسیر پاسخ‌گویی مشتری شما وجود دارد، آموزش‌های اپرا را ببینید و همین کاربرگ را برای بررسی دامنه و محدودیت در دمو آماده کنید.