CN113190805A - 一种代码资产管理系统 - Google Patents

Abstract

本发明公开了一种代码资产管理系统，用于解决现有技术无法对代码的质量、安全、规范进行管理的技术问题。本发明包括：工作流管理模块、评定分析管理模块和监控预警模块；所述工作流管理模块，用于对所述代码资产的生命全周期进行管理；所述评定分析管理模块，用于在所述代码资产的所述生命全周期中对所述代码资产的代码质量、代码安全、代码规范进行评定分析，以及对所述代码资产进行数据态势分析，生成态势分析图；所述监控预警模块，用于监控所述代码质量、所述代码安全和所述代码规范的评定分析过程，并根据监控结果判断是否发出预警信息。

Description

一种代码资产管理系统

技术领域

本发明涉及资产管理技术领域，尤其涉及一种代码资产管理系统。

背景技术

从宏观角度出发，在当前高速发展的信息化时代，代码作为无形资产的范畴之一，其重要价值越发体现。

代码资产是指由企业拥有或者控制的，包括开发人员编写实现功能的程序代码、相应的开发设计文档及相关资料。从实际情况来看，代码资产的信息化管理，有利于软件集成交付的规范化、自动化、持续化建设，有利于软件开发过程中所产生的流程文档、调研资料的完整性、安全性、保密性管理。

此外，行业对软件研发、集成、交付的标准化要求也给代码资产信息化管理的可行性提供参考依据，基于自动化管理的持续集成交付是软件研发领域中最流行的标准体系之一，主旨是利用自动化工具、标准化流程把软件研发过程中各个流程节点统一管理，最终实现敏捷开发、快速上线的目标。现有的代码资产管理办法仅限于研究代码资产的流程管理、生命周期管理、存储备份管理等常规资产操作，无法实现对代码的质量、规范、安全等特殊资产属性的管理。

发明内容

本发明提供了一种代码资产管理系统，用于解决现有技术无法对代码的质量、安全、规范进行管理的技术问题。

本发明提供的一种代码资产管理系统，包括：工作流管理模块、评定分析管理模块和监控预警模块；

所述工作流管理模块，用于对所述代码资产的生命全周期进行管理；

所述评定分析管理模块，用于在所述代码资产的所述生命全周期中对所述代码资产的代码质量、代码安全、代码规范进行评定分析，以及对所述代码资产进行数据态势分析，生成态势分析图；

所述监控预警模块，用于监控所述代码质量、所述代码安全和所述代码规范的评定分析过程，并根据监控结果判断是否发出预警信息。

可选地，所述生命全周期包括生成、入库、传输、存储、使用、归档和销毁。

可选地，所述评定分析管理模块包括：

代码质量评定子模块，用于根据预设评估维度对代码质量进行评定。

可选地，所述预设评估维度包括：代码重复率、千行编码红线问题数、千行安全问题数、单元测试覆盖率、代码注释率、问题SQL数、缺陷数和故障数。

可选地，所述评定分析管理模块还包括：

代码安全审查子模块，用于获取代码安全漏洞类型，根据所述代码安全漏洞类型对所述代码资产进行安全审查评定，评定所述代码资产中是否存在对应的安全漏洞。

可选地，所述代码安全漏洞类型包括：非常规漏洞类型；

所述非常规漏洞类型包括敏感信息、软件包版本漏洞信息、加密字符串复杂度中的至少一种。

可选地，所述敏感信息包括：用户账号密码、用户身份证号码、用户通讯号码在代码中暴露中的至少一种。

可选地，所述评定分析管理模块还包括：

代码规范检查子模块，用于检查代码授权、代码分支、代码结构和代码提交信息是否符合规范。

可选地，所述评定分析管理模块还包括：

数据态势分析子模块，用于获取代码资产的质量评定结果，并根据质量评定结果进行数据态势分析，生成态势分析图。

可选地，所述态势分析图包括曲线图或柱状图。

从以上技术方案可以看出，本发明具有以下优点：本发明提供一种代码资产管理系统，包括工作流管理模块、评定分析管理模块和监控预警模块；工作流管理模块，用于对代码资产的生命全周期进行管理；评定分析管理模块，用于在代码资产的生命全周期中对代码资产的代码质量、代码安全、代码规范进行评定分析，以及对代码资产进行数据态势分析，生成态势分析图；监控预警模块，用于监控代码质量、代码安全和代码规范的评定分析过程，并根据监控结果判断是否发出预警信息。从而实现对代码的质量、安全、规范进行管理。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其它的附图。

图1为本发明实施例提供的一种代码资产管理系统的结构示意图；

图2为本发明实施例提供的一种代码资产管理工作流的示意图。

具体实施方式

本发明实施例提供了一种代码资产管理系统，用于解决现有技术无法对代码的质量、安全、规范进行管理的技术问题。

为使得本发明的发明目的、特征、优点能够更加的明显和易懂，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，下面所描述的实施例仅仅是本发明一部分实施例，而非全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。

请参阅图1，图1为本发明实施例提供的一种代码资产管理系统的结构示意图。

本发明提供的一种代码资产管理系统，包括：工作流管理模块101、评定分析管理模块102和监控预警模块103；

所述工作流管理模块101，用于对所述代码资产的生命全周期进行管理；

所述评定分析管理模块102，用于在所述代码资产的所述生命全周期中对所述代码资产的代码质量、代码安全、代码规范进行评定分析，以及对所述代码资产进行数据态势分析，生成态势分析图；

所述监控预警模块103，用于监控所述代码质量、所述代码安全和所述代码规范的评定分析过程，并根据监控结果判断是否发出预警信息。

在本发明实施例中，整个代码资产管理系统主要分为工作流管理模块101、评定分析管理模块102和监控预警模块103。整个系统可以基于java语言平台开发，集成开源项目grafana作为可视化数据态势分析技术框架、activity流程管理工具、基于flume和kafka的数据采集技术、基于hadoop体系的大数据分析技术、以及一系列代码安全扫描/规范扫描/质量扫描组件库工具等。

在本发明实施例中，工作流管理模块101主要根据预先规定的代码资产过程、权责部门、涉及的具体流程步骤，使用工作流技术组装起来，使处理过程自动化，使各个不同角色群体、不同应用工具相互协调工作，以完成代码资产生命全周期的管理过程。在一个示例中，代码资产的生命全周期可以包括：生成、入库、传输、存储、使用、归档和销毁。

在本发明实施例中，代码资产的工作流管理，主要包括工作流程定义、工作流引擎、分离整合技术、过程流转视图、流转提醒机制。代码资产的工作流程主要覆盖代码资产生命全周期。通过工作流引擎及分离整合技术，把信息系统中不同角色的用户成员串联起来，达到代码资产规范化、流程化、信息化的管理目的，并可以提供过程视图和提醒机制来进一步提高效率。

工作流引擎可以采用开源工具activity，并结合业务系统需求进行二次开发。该工作流引擎包括流程节点标准化数据分离整合方案、过程可视化流转视图等，通过将过程操作节点数据结构化，并生成不同类型表单进行存储，通过XML数据解析并映射写入生成的表单中，以实现代码资产管理工作流的可配置化管理。如图2所示，具体工作流如下：

入库阶段：代码资产归属部门新建代码，向代码资产归属管理部门发送准入申请；代码资产归属管理部门进行准入审批，并进行权限分配。

传输阶段：代码资产归属部门根据新建的代码的权限，进行代码下载操作，并进行编码设计，代码资产归属管理部门根据编码设计结果进行质量检查；

存储阶段：代码资产归属管理部门对代码进行规范检查，并通过代码资产安全统筹管理部门进行安全检查。

使用阶段：代码资产归属部门对通过安全检查的代码进行使用申请，代码资产归属管理部门对使用申请进行申请审批，在审批通过后，代码资产归属部门对代码资产进行资产转移或使用。

归档阶段：在完成对代码资产的转移或使用后，代码资产归属部门对代码资产进行归档申请，并通过代码资产归属管理部门进行申请审批以及归档权限设置，在完成审批和归档权限设置后，代码资产归属部门进行代码归档操作。

销毁阶段：在完成代码归档操作后，代码资产归属部门发出代码销毁申请，并经由代码资产归属管理部门进行申请审批，代码资产归属管理部门在审批通过后，进行代码销毁操作。

需要说明的是，在本发明实施例中，还可以设立技术委员会，对工作流的生命全周期进行过程监督。

在本发明实施例中，评定分析管理模块102包括：代码质量评定子模块1021，用于根据预设评估维度对代码质量进行评定。

代码质量评定主要从各个维度进行评估衡量，最终通过建立代码质量评估模型来评定代码质量的高低，其中，该模型的建立是代码质量评定的核心。

在一个示例中，评估维度可以包括：代码重复率、千行编码红线问题数、千行安全问题数、单元测试覆盖率、代码注释率、问题SQL数、缺陷数和故障数等。

上述的数据主要采用代码扫描工具进行获取，代码质量评估模型主要参考研发过程各个阶段由代码质量所产生的问题，设定其各个维度指标的分值权重，并利用评分度量机制，把各个维度所产生的问题用量化数据表现出来。

在一个示例中，代码质量评估模型可以如下表1所示：

代码质量评估模型的建立，可以采用权重占比求和方式，通过采样多个项目代码作为先验数据样本，通过代码扫描工具采集数据，通过数据对比分析，根据差异项特点分配权重分值，并累加评分，通过穷举法进行多次校验并优化，最终得出适合代码管理需求的代码质量评估模型。

在本发明实施例中，评定分析管理模块102还包括代码安全审查子模块1022，用于获取代码安全漏洞类型，根据代码安全漏洞类型对代码资产进行安全审查评定，评定代码资产中是否存在对应的安全漏洞。

在本发明实施例中，可以采用漏洞扫描工具输出安全风险数据报告，并根据数据挖掘代码安全问题。本发明实施例将安全检测、安全监测融入设计编码设计过程中，并进行多维度代码安全漏洞检测。除了常规漏洞类型SQL注入、XSS注入、命令注入、LDAP注入、SSI注入等常规代码安全漏洞检测外，还进行非常规漏洞类型的检测，包括敏感信息检测，如用户账号密码、用户身份证号、用户通讯账号在代码中暴露中的至少一种；软件包版本漏洞信息检测、加密串复杂度检测(如简单数字或字母通过加密算法生成的加密字符串较容易破解)等非常规漏洞类型的代码安全审查。在实际应用中，可以根据不同业务场景，关注不同代码的安全隐患，规定代码安全审查时需要进行检测的代码安全漏洞类型。

在本发明实施例中，评定分析管理模块102还可以包括代码规范检查子模块1023，用于检查代码授权、代码分支、代码结构和代码提交信息是否符合规范。

在具体实现中，代码规范检查子模块1023，主要是通过代码规范检查工具检查代码授权、代码分支、代码结构、代码提交信息是否恰当且符合规范，实现方式可以是通过制定明确规范约束，并在关键节点按要求提交记录，通过对记录的程序分析判断其规范性。

代码授权是否恰当：指的是是否无越权操作账号，角色权限是否控制在正常范围以内，每项代码资产是否仅有一个资产负责人，其它人员查阅及修改代码是否经过负责人授权。

代码分支管理是否规范：在本发明实施例中可以采用预设的git工作流规约进行代码分支管理，除了判断代码资产项是否符合规约，还会检查其分支是否及时合并更新等。

代码结构是否规范：本发明实施例所定义的代码资产分为软件代码及过程文档，其中软件代码的结构是否测试用例、程序脚本、配置文件、数据库文件等规范化目录，过程文档是否包含需求、研发、测试、部署、运维等阶段的文档。

代码提交是否符合标准：在本发明实施例中，值代码提交信息是否遵循预设规范，判断代码提交信息是否包含预设内容并符合标准，如是否带上代码版本标签、具有提交内容描述等。

在本发明实施例中，所述评定分析管理模块102还包括：

数据态势分析子模块1024，用于获取代码资产的质量评定结果，并根据质量评定结果进行数据态势分析，生成态势分析图。

在本发明实施例中，数据态势分析子模块1024用于进行数据态势分析，主要是指对研发过程中的代码进行各维度分析，并生成态势分析图，从而通过态势分析图进行代码质量的趋势评估。

在一个示例中，态势分析图可以为权限图或者柱状图。

在本发明实施例中，监控预警模块103主要针对代码质量、代码安全、代码规范中存在的问题进行分类分级，并通过自动化监控预警手段，如问题归类收敛、问题紧急响应机制、定期检测机制、消息预警机制等，把问题及时、精准送达相关代码管控负责人。

问题归类收敛：把相同质量、安全、规范问题收敛排重，做到精准分类；

问题紧急响应机制：通过问题分级，把待处理事项排序，优先处理最紧急事项；

定期检测机制：采用定期安全巡检的方式，结合代码质量评定、代码安全审查、代码规范检测把代码仓库中的代码安全问题检测出来；如图2所示，定期安全巡检主要在代码工作流生命全周期的“使用、归档、销毁”等环节进行。

消息预警机制：该部分指的是通知预警手段，可选择邮件、短信、消息推送等方式实现，从而进行如图1所示的代码质量预警、代码安全预警和代码规范预警。

本发明提供一种代码资产管理系统，包括工作流管理模块、评定分析管理模块和监控预警模块；工作流管理模块，用于对代码资产的生命全周期进行管理；评定分析管理模块，用于在代码资产的生命全周期中对代码资产的代码质量、代码安全、代码规范进行评定分析，以及对代码资产进行数据态势分析，生成态势分析图；监控预警模块，用于监控代码质量、代码安全和代码规范的评定分析过程，并根据监控结果判断是否发出预警信息。从而实现对代码的质量、安全、规范进行管理。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统，装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。

本领域内的技术人员应明白，本发明实施例的实施例可提供为方法、装置、或计算机程序产品。因此，本发明实施例可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明实施例可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明实施例是参照根据本发明实施例的方法、终端设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理终端设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理终端设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理终端设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理终端设备上，使得在计算机或其他可编程终端设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程终端设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

尽管已描述了本发明实施例的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例做出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本发明实施例范围的所有变更和修改。

最后，还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者终端设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者终端设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者终端设备中还存在另外的相同要素。

以上所述，以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (10)

1.一种代码资产管理系统，其特征在于，包括：工作流管理模块、评定分析管理模块和监控预警模块；

所述工作流管理模块，用于对所述代码资产的生命全周期进行管理；

所述评定分析管理模块，用于在所述代码资产的所述生命全周期中对所述代码资产的代码质量、代码安全、代码规范进行评定分析，以及对所述代码资产进行数据态势分析，生成态势分析图；

所述监控预警模块，用于监控所述代码质量、所述代码安全和所述代码规范的评定分析过程，并根据监控结果判断是否发出预警信息。

2.根据权利要求1所述的系统，其特征在于，所述生命全周期包括生成、入库、传输、存储、使用、归档和销毁。

3.根据权利要求1所述的系统，其特征在于，所述评定分析管理模块包括：

代码质量评定子模块，用于根据预设评估维度对代码质量进行评定。

4.根据权利要求3所述的系统，其特征在于，所述预设评估维度包括：代码重复率、千行编码红线问题数、千行安全问题数、单元测试覆盖率、代码注释率、问题SQL数、缺陷数和故障数。

5.根据权利要求3所述的系统，其特征在于，所述评定分析管理模块还包括：

代码安全审查子模块，用于获取代码安全漏洞类型，根据所述代码安全漏洞类型对所述代码资产进行安全审查评定，评定所述代码资产中是否存在对应的安全漏洞。

6.根据权利要求5所述的系统，其特征在于，所述代码安全漏洞类型包括：非常规漏洞类型；

所述非常规漏洞类型包括敏感信息、软件包版本漏洞信息、加密字符串复杂度中的至少一种。

7.根据权利要求6所述的系统，其特征在于，所述敏感信息包括：用户账号密码、用户身份证号码、用户通讯号码在代码中暴露中的至少一种。

8.根据权利要求5所述的系统，其特征在于，所述评定分析管理模块还包括：

代码规范检查子模块，用于检查代码授权、代码分支、代码结构和代码提交信息是否符合规范。

9.根据权利要求8所述的系统，其特征在于，所述评定分析管理模块还包括：

数据态势分析子模块，用于获取代码资产的质量评定结果，并根据质量评定结果进行数据态势分析，生成态势分析图。

10.根据权利要求1所述的系统，其特征在于，所述态势分析图包括曲线图或柱状图。

Images