什么是软件成分分析(SCA)安全测试技术

【摘要】 本文介绍了SCA技术的基本原理、应用场景，业界TOP SCA商用工具的分析说明以及技术发展趋势；让读者对SCA技术有一个基本初步的了解，能更好的准确的应用SCA工具来发现应用软件中一些安全问题，从而帮助提升软件安全质量。
1、什么是SCA
SCA（Software Composition Analysis）软件成分分析，通俗的理解就是通过分析软件包含的一些信息和特征来实现对该软件的识别、管理、追踪的技术。我们知道在当今软件开发中，引入开源软件(注1)到你的项目中，避免重复造轮子是大家都再熟悉不过的了，比如开源库中开源软件按每年21%速度在增长(来源Forrester报告)，开源安全威胁成为企业组织无法回避的话题，而应用SCA技术对应用程序进行安全检测，实现安全管理是最行之有效的方法之一。

2、基本原理

SCA理论上来说是一种通用的分析方法，可以对任何开发语言对象进行分析，Java、C/C++、Golang、Python、JavaScript等等，它对关注的对象是从文件层面的文件内容，以及文件与文件之间的关联关系以及彼此组合成目标的过程细节。从SCA 分析的目标程序形式上分，既可以是源代码也可以是编译出来的各种类型的二进制文件，分析的数据对象对程序架构，编译方式都是不敏感的，比如：类名称、方法/函数名称、常量字符串等等，不管目标程序运