[发明专利]一种基于Gitlab平台的第三方依赖库信息采集的方法

说明书

本发明公开了一种基于Gitlab平台的第三方依赖库信息采集的方法，所述方法通过信息采集系统实现；所述系统包括：接收请求单元，用于监听代码仓库事件，获取事件信息和解析文件；解析单元，用于解析依赖文件信息，获取第三方依赖库信息；存储单元，用于存储项目依赖的第三方库信息；所述方法包括监听代码仓库事件、采集项目依赖信息文件、解析单元解析依赖文件，获取第三方依赖库信息以及存储第三方依赖库信息等步骤。本方法可以快速获取所有项目的依赖库信息，并能做到随项目变化而更新，便于集中存储管理和方便反查。

技术领域

本发明属于IT与软件开发技术领域，具体涉及一种基于Gitlab平台的第三方依赖库信息采集的方法。

背景技术

软件开发过程中，第三方组件的使用越来越广泛。随着互联网技术发展，以及微服务架构的广泛应用。项目越来越多，项目的依赖信息都在各个项目中独立维护、集中管理，获取这些项目的依赖信息越来越难。一方面是项目多，人工收集信息费时费力。另一方面迭代快，依赖的项目变化快，维护成本高。例如当第三方依赖库需要升级或者调整的时候，就需要知道哪些项目依赖了这个库，反查的时候，效率很慢，需要逐个项目排查，费时费力。

又例如项目开发中，一般都存在依赖关系。假如项目A开发和运行依赖了项目B、C、D、N项目。并通过声明文件声明了依赖关系。当项目B、C、D、N项目中有任何一个项目出现了安全漏洞，都可能会导致项目A的安全问题。单个项目的依赖关系通过直接分析项目中的声明文件就可以获取，但是当项目有几百个，开发语言有多种等等时，如何快速查询项目依赖关系就显得极为重要了。

发明内容

本发明针对现有技术的问题，提供一种可以快速解析获取第三方依赖库信息，包括库标识，版本号等，并与项目信息关联存储实时更新第三方组件漏洞信息的基于Gitlab平台的第三方依赖库信息采集的方法。

为了实现上述发明目的，本发明的技术方案如下：

一种基于Gitlab平台的第三方依赖库信息采集的方法，所述方法通过信息采集系统实现；所述系统包括：

接收请求单元：用于监听代码仓库事件，获取事件信息和解析文件；

解析单元：用于解析依赖文件信息，获取第三方依赖库信息；

存储单元：用于存储项目依赖的第三方库信息；

所述方法包括以下步骤：

1)接收请求单元监听代码仓库事件,每个项目通过声明文件声明依赖关系；

2)采集项目依赖信息文件；

3)解析单元解析依赖文件，获取第三方依赖库信息；

4)存储单元保存步骤3)获取的第三方依赖库信息。

所述通过监听代码仓库事件当项目代码变更时，及时获取变更信息，保证项目依赖信息准确性。

进一步的，所述步骤1)中，在Gitlab平台中管理的项目里面，配置Webhook，配置内容包括URL、Secret Token(秘钥)和Trigger(触发事件)；所述URL包含依赖的第三方组件信息的文件的路径和项目信息；所述项目信息包括项目唯一标示；所述触发事件包括Pushevents、Pipeline events、Merge Request events中的一个或多个。

进一步的，所述步骤2)中，当开发人员触发Gitlab代码仓库的监听事件时，触发WebHook接口，接收请求单元获取请求中的信息，获取接口传递的参数；所述参数包括项目编码、项目依赖文件位置信息、开发语言。

进一步的，所述项目编码为唯一标示。

进一步的，所述步骤3)中，将解析项目的依赖文件转化为结构化信息，获取项目依赖的第三方依赖库的唯一标示信息。