Azure Devops pipeline - C++ - Whitesource Bolt

Question

我有一个项目，用c++编写，并内置到docker映像中。我在我的项目中使用了一些开源库(nlohmann json, gtest, cpr等)。

现在，我正试图使用Whitesource Bolt找到开源漏洞。我在Azure管道任务中添加了扩展。

我想知道，Whitesource Bolt如何识别这些开源模块中的漏洞。我读到，他们将创建一个数字签名，并将其与他们的数据库进行比较。

但是，谁能描述一下他们是如何创建数字签名的，或者他们是如何识别我们代码中的开源模块的?

Answer 1

每个开源模块都有自己特殊的数字签名。Whitesource Bolt计算这些数字签名来找到开源模块。