华为云构筑云原生DevSecOps平台 全方位保障软件生态安全

5月12日，由华为云和InfoQ共同出品的云技术专栏《探秘·云新知》第一期正式上线。节目深度解读华为云软件开发生产线DevCloud优势能力，帮助开发者有效应对软件开发难题。

基于华为公司30多年的数字化转型经验和研发实践，DevCloud将为开发者提供全生命周期的软件工具服务，帮助开发团队完成研发知识的沉淀，助力企业更好地数字化创新。

企业数字化转型离不开传统应用向现代化应用转型，以适应市场越来越多、越来越快的应用需求。沉淀了华为超过30年的数字化转型经验和研发资源，华为云软件开发生产线DevCloud致力为客户伙伴提供高效敏捷开发能力。

华为云PaaS服务产品部部长徐峰在访谈中介绍，华为云软件开发生产线DevCloud构筑了云原生的DevSecOps平台。相对传统的研发工具，这一平台代码仓性能可提升5倍，构建性能提升10倍，测试管理容量提升10倍等，可为全球开发者提供开箱即用的服务：

在开发能力和开发体验上

云服务流水线、Serverless开发和部署等，将让云原生开发者有一站式的、更顺畅便捷的开发体验。

在安全可信上

实现软件生产线全生周期的核心要素端到端可追溯；构建统一的漏洞库和开源软件优选库；实现三级漏洞安全检查、开源license合规性检查，内置15000多条检查规则，确保在全球200多个国家和地区市场的安全运行。

在使用场景上

华为云DevCloud支持了C/C++，AOSP构建效率提升10倍；新增100+嵌入式代码检查规则；项目集成能力有力支持跨项目的系统管理；知识协同，让知识资产实现全生命周期管理；自定义工作流，让复杂的项目开发轻松简便。

目前，华为云DevCloud已积累超过百万的企业与个人开发者用户，覆盖政府、互联网、工业、教育医疗、电商等诸多领域。例如：

在德邦快递，华为云助力打造应用全生命周期研发能力，实现上百个核心业务系统全面上云、代码质量和交付效率提升、降低研发成本；

在江苏财政，华为云助力开发一体化财政业务系统，有效地支撑10万用户、4万单位业务同时在线办理，提升海量资金管理效率。

如何提高软件开发效率还需对症下药，其中，编译构建是产品研发的关键环节。

华为云DevCloud开发构建领域技术总监王谦表示，DevCloud提供编译构建CloudBuild服务，基于云端大规模并发加速，为客户提供混合语言构建能力，以提升构建效率和交付速度。

在编译构建CloudBuild服务中，DevCloud集成了五大技术法宝：按需的代码下载能力、精准增量编译、大规模分布式编译、构建环境动态组装、基于AI的按需弹性资源。

通过贯穿开发全流程的优化设计，加上华为云自研核心技术支持，该平台将以最低的成本，完成端到端的构建效率提升。

以某基站产品为例，大约一亿行的代码量。在华为云DevCloud的支持下，研发的编译出包效率可从以往超过10小时压缩到1个小时左右；产品的集成验证效率也得到大幅提升，以往需要一到两天完成的流程，如今每天都可以进行5轮左右的滚动自动化集成验证。

软件测试技术是软件开发过程中的重要组成部分。华为云DevCloud测试领域技术总监王春牛介绍，基于云端打造的“测试自动化工厂”可提供全流程测试解决方案，实现测试端到端高度协同，7x24小时全自动化测试，及时反馈版本质量，同时准确发现产品缺陷，高效分析辅助问题修复等。

例如在常见的网购秒杀中，许多用户都遇到过访问失败情况，背后可能是平台瞬时访问激增引起的一系列系统异常。基于“测试自动化工厂”，云端系统即可高效完成演练，提前预判业务高峰期可能出现的问题，做好及时部署和应急预案：

大并发压测模拟

通过秒级百万并发能力，实现千万级TPS并发，模拟秒杀抢购时瞬间大量并发压力。帮助企业提前识别到高并发场景下的性能瓶颈，防止上线后过载流量导致系统不可用风险。

全场景压测模型

全场景仿真不同过载场景（如流量风暴、浪涌、震荡、梯度上升场景等），快速构建压力模型，对应用的性能体验进行全面分析。

专业性能测试报告

包括事务并发、RPS、吞吐量、响应时延等多维度统计，快速定位性能瓶颈，精准反馈用户体验。

在软件供应链攻击事件频发的状态下，产品安全是企业运维的重中之重。

华为云DevCloud安全可信领域技术总监龙翔介绍，华为云DevCloud研发安全服务将安全要求、规范、检查标准内置于软件生产全生命周期，实现从需求、设计、代码、测试、缺陷等核心要素端到端可追溯，让企业软件开发“生而安全”。

另一方面，华为云DevCloud构建了统一的漏洞库和开源软件优选库，实现了代码级、制品级、运行态的三级漏洞安全检查，支持历史开源组件新发现漏洞的全自动排查；同时，将黑盒安全测试服务融入到运维服务，持续防控资产、网站、设备中的安全合规风险，保障应用产品持续无忧。

此外，当大型企业面临动辄上百家供应商时，往往很难要求所有供应商提供源码进行安全漏洞检查。华为云DevCloud提供的一站式二进制安全检查服务，无需依赖源码，即可快速对软件包进行精准检测分析，并提供版本升级修补建议，帮助企业快速规避风险隐患，全方位保障软件生态安全。

数字世界的变革，离不开各行各业的软件应用现代化。华为云致力于携手各行业客户与伙伴，以云服务的方式分享行业经验与资源，加快华为云DevCloud平台建设与发展，推动软件产业链升级，助力客户与伙伴更好实现数字化转型。

审核编辑：彭静