[发明专利]一种软件开源风险确定方法和装置

权利要求书

1.一种软件开源风险确定方法，其特征在于，所述方法包括：

对软件的软件源代码库进行扫描，获取代码文件；

对每个代码文件的内容进行扫描，确定所述代码文件引用的开源软件模块；

基于预设的开源软件授权协议库获取确定的开源软件模块对应的开源软件授权协议；

统计指定的开源软件授权协议所对应的开源软件模块的个数；

根据获取的开源软件授权协议，以及统计的开源软件模块的个数确定开源软件模块的风险，以及所述软件的风险。

2.根据权利要求1所述的方法，其特征在于，所述对每个代码文件的内容进行扫描，确定所述代码文件引用的开源软件模块，包括：

根据代码文件的后缀确定开发所述代码文件的计算机语言；

使用确定的计算机语言对应的关键词对所述代码文件进行内容扫描，确定所述代码文件引用的软件模块；

基于开源软件模块库确定代码文件引用的软件模块是否为开源软件模块。

3.根据权利要求2所述的方法，其特征在于，所述确定所述代码文件涉及到的开源软件模块时，所述方法进一步包括：

若获取所述开源软件模块的版本号，则所述基于预设的开源软件授权协议库获取确定的开源软件模块对应的开源软件授权协议，包括：

基于预设的开源软件授权协议库获取确定的开源软件模块的版本对应的开源软件授权协议。

4.根据权利要求1-3任一项所述的方法，其特征在于，所述指定的开源软件授权协议包括：第二版通用性公开许可证GPLv2协议和加强版通用公共许可证AGPL协议；

所述根据获取的开源软件授权协议，以及统计的软件模块的个数确定软件模块的风险，以及所述软件的风险，包括：

确定涉及GPLv2协议或AGPL协议的开源软件模块为高风险模块，不涉及GPLv2协议和AGPL协议的开源软件模块为低风险模块；

若统计涉及到GPLv2协议和AGPL协议的开源软件模块的个数的和大于预设值，则确定所述软件为高风险；否则，确定为低风险。

5.根据权利要求4所述的方法，其特征在于，所述方法进一步包括：

将软件的风险，以及开源软件模块和风险的关联关系输出。

6.一种软件开源风险确定装置，其特征在于，所述装置包括：扫描单元、第一获取单元、第一确定单元、第二获取单元、统计单元和第二确定单元；

所述扫描单元，用于对软件的软件源代码库进行扫描，对所述第一获取单元获取的每个代码文件的内容进行扫描；

所述第一获取单元，当所述扫描单元对软件的软件源代码库进行扫描时，获取代码文件；

所述第一确定单元，用于当所述扫描单元对获取的每个代码文件的内容进行扫描时，确定所述代码文件引用的开源软件模块；

所述第二获取单元，用于基于预设的开源软件授权协议库获取所述第一确定单元确定的开源软件模块对应的开源软件授权协议；

所述统计单元，用于统计所述第二获取单元中获取的指定的开源软件授权协议所对应的开源软件模块的个数；

所述第二确定单元，用于根据所述第二获取单元获取的开源软件授权协议，以及所述统计单元统计的开源软件模块的个数确定开源软件模块的风险，以及所述软件的风险。

7.根据权利要求6所述的装置，其特征在于，

所述第一确定单元，具体用于根据代码文件的后缀确定开发所述代码文件的计算机语言；使用确定的计算机语言对应的关键词对所述代码文件进行内容扫描，确定所述代码文件引用的软件模块；基于开源软件模块库确定为开源软件模块的软件模块。

8.根据权利要求6所述的装置，其特征在于，

所述第一确定单元，进一步用于确定所述代码文件涉及到的开源软件模块时，获取所述开源软件模块式的版本号；

所述第二获取单元，具体用于若所述第一确定单元获取所述开源软件模块的版本号，则基于预设的开源软件授权协议库获取确定的开源软件模块的版本对应的开源软件授权协议。