murphysec的博客

这篇文章给大家分享一下我和超过 180 家各行业企业的安全负责人和一线的工程师们一起交流关于企业软件供应链治理问题过程的一些收获，把大家讨论和关心的共性问题做一些总结和提炼，也结合我自己在产品上的一些思考，分享给大家

完成测试后，推荐了所有前后端开发人员安装【MurphySec】，有错必纠，有洞必修，完整覆盖公司所有项目，且由技术客服人员统一收集整理邮箱收到的安全报告，进行半月一次的集中评估与修正。了解该工具在开发阶段就可以对使用的各技术栈的开源组件进行安全检测，且对每个单体项目单独存储安全报告，一切问题在开发阶段进行评估，诊断，修复，且发布后可监控定期收安全报告，正好满足需求，一切都变得顺利。在找解决方案的阶段，无意间在xxxx了解到了墨菲安全的检测工具，ide插件的检测对研发同学也非常友好。.........

将邮件的内容发给我的领导，让我直接在我领导面前好好装了一回❌，领导直夸我安全意识强……

背景在大环境下，安服仔的剧烈斗争下，各大厂家另开僻路，因而安服仔要的要求越来越高。以前安服仔只要测试一些系统，而如今，不仅打的了攻防，做得了代码审计，还得能写出一手好的ppt，更要会测试各种系统。而money还是那个money，内卷只会提高技术水平。为什么需要代码审计前面提到为啥需要代码审计，在目前主流来说，漏洞爆发的源头多是供应商使用了不安全的组件或者是代码逻辑存在漏洞。那么如果在开发的时候注意或者在未被攻击者发现前制止，这样就会提前阻断后面可能的损失。新手如何上手代码审计俗话说：欲先善其事,必

入编程界6年来，大大小小的安全漏洞是真滴听了不少，xxx通过日志入侵了，xxxx通过请求入侵了，等等等等。近期fastJson又报安全漏洞，敢巧自己又“被”跳槽到了新公司，看着手里热腾腾的“毫无注释、毫无代码洁癖可言的”项目，头大，结果发现使用的json还正好是fastjson、且是fastjson漏洞版本，更是让我孰不可忍。github --> fastjson --> 解决方案 --> 到项目解决。赶巧，就随手看了下最近周榜上的受欢迎最高的项目，结果刚star完某个项目，我

我是一名后端java研发工程师，目前就职于一家服务于汽车行业的乙方公司，近期也是迫于甲方爸爸的压力，交付的产品需要配上产品的安全检测报告，并且给我规定了一些明令禁止的漏洞...所以我就从我大学同学那里咨询了一下关于代码安全的工具。他是有给我推荐两个工具的，一个叫snyk，一个是墨菲安全，这两家的客户端都尝试使用了一下，发现检测结果没什么差别，但是snyk是英文的，对我来说有一些不友好，所以就用墨菲的工具进行了检测，并且拿他们的检测结果做了修复，做了报告，成效还不错，达到了甲方爸爸的验收标准，所以来分享一