「微源」开源软件可信中心仓

—— 提供安全可信的下载源，合规引入开源软件，从源头过滤风险

开源软件存在怎样的风险？

开源软件具有迭代周期短、模块数量多、生产线上化、供应全球化、仓储集中化、边际成本低等特性，且使用路径包括第三方镜像仓库、网盘、论坛、代码托管平台等存在安全隐患的软件源，极易引入未知风险，如篡改、漏洞、投毒/后门、维护性中断、开源合规风险等。

如何管理开源软件的引入？

可信中心仓：从众多可靠源头获取开源软件，利用自动化工具进行持续评估，通过隔离、标记等手段实现开源软件供应链安全左移，最大程度限制风险引入，对比高成本的“白名单”方案，可信中心仓是企业和机构管理开源软件的最佳选择。

产品简介 | Product Introduction

「微源」可信中心仓从全球 400+ 数据源筛选高可靠开源软件，自动跟踪、存储海量开源软件，并通过软件成分分析（Software Composition Analysis）、漏洞情报比对、投毒风险识别、开源软件维护性评估、开源许可证分析、开源软件签名验证等多种技术进行持续评估与保障。企业和机构能够便捷地将「微源」作为开源软件源加入本地软件制品管理工具或开发环境，获得经过评估的开源软件以及各类相关实时开源风险，免除高昂的建设与维护投入，实现主动和统一的开源软件管理。

核心功能 | Core functions

依赖关系分析 识别开源软件直接依赖与间接依赖关系，生成软件物料清单（SBOM），提升供应链可见性与自动化治理能力
有害软件隔离 实时监测开源软件供应链投毒情报，通过关系图谱与AI算法实现影响范围判定，并由安全专家进行分析验证，及时隔离有害软件
持续跟踪评估 基于比NVD更庞大的漏洞情报知识库，结合多个开源漏洞风险识别与分析引擎，实现对开源软件的持续跟踪与评估，帮助用户快速决策

开源许可合规 支持3200+种开源许可协议的识别与分析，并对协议条款进行解释，100%覆盖OSI（Open Source Initiative）
开源软件评价 根据风险评估结果对开源软件进行综合评价，帮助企业和机构制定引入标准、优化软件选型和替代策略
重要风险预警 对开源软件供应链进行持续看护和长链追溯，及时发现相关风险并主动预警，实现应急响应能力

技术指标 | TECHNICAL INDEX

可支持的开源软件开发语言等

可支持的开源软件操作系统等

| Ubuntu

价值优势 | value advantage

为开源软件供应提供连续性保障
「微源」实现全球开源软件存储，在无法连接海外源的情况下仍可获得已存储的版本，保障业务连续性。此外，「微源」通过大规模开源软件供应链分析，识别关键的开源软件，能对其停止服务、中断供应等事件进行评估，协助搜寻替代方案。

开源软件源头可信，供应链安全左移
「微源」在存储开源软件的同时，即通过多种分析引擎，完成对开源软件篡改、漏洞、投毒/后门、维护性中断、开源合规风险等全量风险的评估。提前隔离有害开源软件，并帮助企业和机构在开源软件引入之前知悉其安全状况，将风险拒之门外。

协助开源软件选型与生命周期管理决策
「微源」拥有实时更新的全球风险情报知识库，对各类开源风险进行持续监测，帮助企业和机构及时掌握待引入或已经引入的开源软件综合风险，为开源软件选型停用与替换提供决策依据。

降低开源治理成本，避免重复建设投入
「微源」将需要大量数据与工具支撑的评估分析工作前置，提供安全可信的开源软件以及各维度评估结果，免除本地建设和维护成本，并让用户能够通过评估结果快速进行开源治理与决策。

联合权威机构共同进行源头治理
「微源」充分发挥重大基础设施的数据情报优势与技术能力优势，联合权威安全评测机构，为企业和机构提供可信、安全、高效的开源软件中心仓服务，帮助建立开源软件可信供应长效机制，提升开源软件供应链弹性与可靠性。

基于开源软件供应链重大基础设施，保障软件供给安全

*「源图」是我国首个开源软件供应链重大基础设施，涵盖国内已知规模最大的开源软件数据集与知识图谱，通过持续采集、监测和分析全球数据源，已帮助国内近百家企业和机构实现更完善的开源治理

用户手册 | User manual

1 环境要求

1.1 浏览器

本产品系统以 Web 应用形式部署，支持以下主流浏览器：

1.2 网络

• 需要能够访问系统服务器的 HTTP 端口

• 建议网络带宽 ≥ 2Mbps，以保证页面加载流畅

• 系统支持内网和外网访问，具体取决于部署环境

2 系统界面

2.1 登录/退出

2.1.1 用户登录

在登录页面输入账号和密码，如需下次登录时自动填充请勾选【记住我】，点击【登录】按钮确认登录，系统将自动跳转主界面

2.1.2 忘记密码

如忘记密码，请联系系统管理员重新获取或重置密码

2.1.3 退出登录

在主界面右上角头像弹出框中点击【退出登录】按钮

系统将弹出确认提示，请点击【确认】按钮确认登出，系统将自动跳转登录页面

2.2 主界面

2.2.1 导航菜单

在左侧导航栏点击菜单项进入对应的功能模块，点击【】/【】按钮可折叠/展开导航栏

2.2.2 全局搜索

顶部搜索栏提供全局搜索功能，选择搜索范围后输入搜索词，系统将自动跳转搜索结果

2.2.3 个人信息

系统将为当前登录用户生成 RepoKey（仓库访问密钥）和 UserID（用户唯一标识），点击【】按钮可一键复制到剪贴板

如未获取到 RepoKey 或 UserID ，请点击【重新获取】按钮尝试获取

右上角显示当前登录账号，点击头像可查看姓名、手机号码、邮箱、授权角色和所属部门

3 功能模块

3.1 可信仓库

3.1.1 仓库列表

进入“可信仓库”模块查看仓库列表，点击【刷新】按钮获取最新的仓库数据

点击【】按钮或主界面右上角的【仓库配置】按钮，可查看对应的仓库配置指南，点击【复制】按钮可一键复制代码到剪贴板

请根据指南内容修改仓库配置，配置正确后可直接下载可信组件

3.1.2 制品搜索

点击仓库面板进入对应的“制品搜索”页面，可重新选择仓库，请输入制品名称和命名空间的关键词进行搜索，系统将自动展示搜索结果

3.1.3 制品详情

点击制品面板进入对应的“制品详情”页面，可查看组件信息和版本列表

组件描述点击【展开】按钮可查看详情，点击【复制Markdown文本】按钮可一键复制组件描述文本到剪贴板

组件版本列表可输入版本关键词进行搜索，鼠标移入推荐度图标可查看推荐度、许可证、活跃度、PoC、在野利用、投毒等数据，点击【】按钮可查看标准评估结果，点击【】按钮可展开结果详情

3.1.4 版本详情

点击版本链接或【】按钮进入对应的“版本详情”页面，可查看组件版本信息、安全概览、组件拉取、文件下载、许可证、漏洞详情等数据，在组件拉取面板点击【配置指南】按钮可查看当前仓库配置指南、点击【复制】按钮可一键复制拉取代码进行组件下载，在文件下载面板点击【下载】按钮可下载对应文件到本地，在漏洞详情面板点击漏洞编号链接可跳转漏洞知识库