SCA

写在前面 在企业安全治理中，有一个场景非常普遍：SCA 工具扫出来几十个漏洞，安全团队整理成工单派给研发，研发打开一看，一堆 CVE 编号和 CVSS 评分，完全看不懂，不知道该改哪里，更不知道改了会不会出问题。 于是就开始了漫长的来回沟通：安全要解释这个漏洞什么意思，研发要确认改完会不会影响线上，法务要判断许可证到底能不能用。一个本来 30 分钟能修好的问…