Bun 의 패키지 관리자는 설치 전 패키지의 보안 취약점을 스캔하여 애플리케이션을 공급망 공격과 알려진 취약점으로부터 보호할 수 있습니다.
빠른 시작
bunfig.toml 에서 보안 스캐너를 구성합니다.
toml
[install.security]
scanner = "@acme/bun-security-scanner"구성하면 Bun 은 다음을 수행합니다.
- 설치 전 모든 패키지 스캔
- 보안 경고 및 권고사항 표시
- 치명적인 취약점이 발견되면 설치 취소
- 보안을 위해 자동 설치 자동 비활성화
작동 방식
보안 스캐너는 bun install, bun add 및 기타 패키지 작업 중에 패키지를 분석합니다. 다음을 감지할 수 있습니다.
- 알려진 보안 취약점 (CVE)
- 악성 패키지
- 라이선스 준수 문제
- ...그 외 더 많은 것들!
보안 수준
스캐너는 두 가지 심각도 수준으로 문제를 보고합니다.
fatal- 설치가 즉시 중지되고 0 이 아닌 코드로 종료warn- 인터랙티브 터미널에서는 계속할지 묻고 CI 에서는 즉시 종료
사전 구축된 스캐너 사용
많은 보안 회사가 npm 패키지로 Bun 보안 스캐너를 게시하며 즉시 설치하여 사용할 수 있습니다.
스캐너 설치
npm 에서 보안 스캐너를 설치합니다.
bash
bun add -d @acme/bun-security-scannerNOTE
특정 패키지 이름 및 설치 지침은 보안 스캐너의 문서를 참조하세요. 대부분의 스캐너는 `bun add` 로 설치됩니다.스캐너 구성
설치 후 bunfig.toml 에서 구성합니다.
toml
[install.security]
scanner = "@acme/bun-security-scanner"엔터프라이즈 구성
일부 엔터프라이즈 스캐너는 환경 변수를 통한 인증 및/또는 구성을 지원할 수 있습니다.
bash
# 예를 들어 ~/.bashrc 에 들어갈 수 있습니다.
export SECURITY_API_KEY="your-api-key"
# 이제 스캐너가 이 자격 증명을 자동으로 사용합니다.
bun install설정해야 하는 환경 변수와 추가 구성이 필요한지 확인하려면 보안 스캐너의 문서를 참조하세요.
자체 스캐너 작성
테스트 및 CI 설정이 포함된 완전한 예시는 공식 템플릿을 참조하세요. github.com/oven-sh/security-scanner-template