組件簡介
| 維護(hù)者 | google組織 | 許可證類型 | Apache-2.0 |
| 首次發(fā)布 | 2010 年 4 月 26 日 | 最新發(fā)布時間 | 2023 年 8 月 1 日 |
| GitHub Star | 48189 | GitHub Fork | 10716 |
| 依賴包 | 28,694 | 依賴存儲庫 | 219,576 |
Guava 是 Google 的一組核心 Java 庫，其中包括新的集合類型（例如 multimap 和 multiset）、不可變集合、圖形庫以及用于并發(fā)、I/O、哈希、原語、字符串等的實用程序。
官網(wǎng)：Guava
官方倉庫：https://github.com/google/guava
參考鏈接：
https://packages.ecosyste.ms/registries/repo1.maven.org/packages/com.google.guava:guava
組件健康度
| 技術(shù)健康度 | 該組件是由谷歌開發(fā)的一套核心Java庫，包含了多種新的集合類型（如multimap和multiset）、不可變集合、圖形庫以及并發(fā)、I/O、哈希、基本類型、字符串等方面的實用工具。該組件的代碼質(zhì)量高，測試覆蓋率高，性能優(yōu)化良好，功能豐富而穩(wěn)定。 |
| 社區(qū)健康度 | 該組件在GitHub上有超過4.8萬個星標(biāo)，1萬多個分支，632個未解決的問題和93個未合并的拉取請求。該組件有一個活躍的社區(qū)，用戶可以在StackOverflow上提出問題，或者在guava-announce和guava-discuss兩個郵件列表上獲取最新的發(fā)布信息和討論話題。 |
| 更新和維護(hù)頻率 | 該組件的最新版本是32.1.2，于2023年8月1日發(fā)布。該組件的發(fā)布周期大約為3個月左右，每次發(fā)布都會包含一些新特性、改進(jìn)和修復(fù)。該組件的開發(fā)團(tuán)隊由谷歌內(nèi)部的Java核心庫團(tuán)隊負(fù)責(zé)，他們對該組件的更新和維護(hù)非常積極和專業(yè)。 |
| 兼容性 | 該組件提供了兩種不同的"風(fēng)味"：一種是用于Java 8或更高版本的JRE上，另一種是用于Android或任何想要與Android兼容的庫上。這兩種風(fēng)味在Maven版本字段中分別指定為32.1.2-jre或32.1.2-android。該組件只需要一個運行時依賴，即failureaccess-1.0.1.jar。該組件遵循語義化版本控制原則，盡量保持向后兼容性，但也會在必要時對一些標(biāo)記為@Beta注解的API進(jìn)行變更。 |
| 文檔和支持 | 該組件有一個完善的用戶指南Guava Explained，以及詳細(xì)的Javadoc文檔。該組件還提供了JDiff文檔來展示不同版本之間的API差異。此外，該組件還有一個GitHub項目頁面，用戶可以在上面查看源代碼、提交問題或拉取請求、參與討論等。 |
綜上所述，com.google.guava:guava 是一個健康度較高的組件，具有成熟的技術(shù)、活躍的社區(qū)、頻繁的更新和維護(hù)、良好的兼容性和豐富的文檔和支持。
參考鏈接：
https://github.com/google/guava
https://github.com/google/guava/releases
Guava
組件許可證解讀
Apache License 2.0 是一種開源軟件許可證，廣泛用于授權(quán)開源項目和代碼。Apache License 2.0 允許用戶自由地使用、修改和分發(fā)受許可的軟件，而無需支付版權(quán)費用或?qū)＠M用。它鼓勵開發(fā)者共享他們的代碼，并保護(hù)用戶的權(quán)利。以下是該許可證的一些重要特點：
- 代碼使用權(quán)：用戶可以自由地使用、復(fù)制、修改、合并、發(fā)布、分發(fā)和銷售受許可軟件。
- 版權(quán)聲明：用戶必須在所有源代碼副本中保留原始的版權(quán)聲明、許可證聲明和免責(zé)聲明。
- 修改代碼：如果用戶對代碼進(jìn)行了修改，需要清楚標(biāo)明哪些部分發(fā)生了變化，并不能暗示原作者同意這些修改。
- 商標(biāo)使用：Apache License 2.0 并未授予使用原軟件的任何商標(biāo)或名稱的權(quán)利。
- 專利許可：該許可證授予了在使用、修改或分發(fā)受許可軟件時相關(guān)專利的非獨占許可。這意味著如果用戶授權(quán)其他人使用該軟件，相關(guān)專利許可也會傳遞給接收方。
- 再許可：用戶可以將受 Apache License 2.0 許可的代碼作為一部分整合到其它開源項目中，并使用不同的許可證授權(quán)整個項目。但是，需要在代碼中顯式地說明使用了 Apache License 2.0 許可的部分。
需要注意的是，Apache License 2.0 并不保證軟件沒有缺陷或不穩(wěn)定性，使用該軟件的風(fēng)險由用戶自行承擔(dān)。
許可證原文鏈接：https://github.com/google/guava/blob/master/LICENSE
組件漏洞版本及修復(fù)方案
| 漏洞編號 | 漏洞標(biāo)題 | 漏洞等級 | 影響版本 | 修復(fù)版本 |
| MPS-mfku-xzh3 | Guava<32.0.0 存在競爭條件漏洞 | 中危 | [1.0,32.0.0-jre) | 32.0.0-jre |
| MPS-2020-17429 | Google Guava 訪問控制錯誤漏洞 | 低危 | (-∞,30.0-jre) | 30.0-jre |
| MPS-2018-5515 | Google Guava 不可信數(shù)據(jù)的反序列化漏洞 | 中危 | [24.1.1-android,24.1.1-jre) | 24.1.1-jre |
同類型可替代組件
- Caffeine：一個基于Java 8的高性能、近乎最優(yōu)的緩存庫，支持多種過期策略和異步加載。官網(wǎng)：https://github.com/ben-manes/caffeine
- Eclipse Collections：一個提供了豐富的集合類型和實用工具的Java庫，包括列表、集合、映射、多映射、堆棧、袋子、雙端隊列等。官網(wǎng)：Eclipse Collections - Features you want with the collections you need. (日本語ページ)
- Apache Commons Collections：一個擴(kuò)展了Java集合框架的庫，提供了一些新的集合類型，如雙向映射、循環(huán)緩沖區(qū)、有序集合等，以及一些轉(zhuǎn)換器、迭代器、比較器等實用工具。官網(wǎng)：Collections – Home
- Javatuples：一個簡單而強(qiáng)大的Java元組庫，支持從一元組到十元組的不可變對象，以及一些操作元組的方法。官網(wǎng)：javatuples - Main
組件SBOM
| 組件名稱 | 版本 | 是否直接依賴 | 倉庫 |
| com.google.guava:listenablefuture | 9999.0-empty-to-avoid-conflict-with-guava | 是 | maven |
| com.google.guava:listenablefuture | 1.0 | 是 | maven |
| com.google.errorprone:error_prone_annotations | 2.21.1 | 是 | maven |
| com.google.guava:guava | HEAD-jre-SNAPSHOT | 是 | maven |
| org.hamcrest:hamcrest-core | 1.3 | 否 | maven |
| com.google.j2objc:j2objc-annotations | 2.8 | 是 | maven |
| com.google.guava:guava | HEAD-android-SNAPSHOT | 是 | maven |
| com.google.guava:failureaccess | 1.0.1 | 是 | maven |
| junit:junit | 4.13.2 | 是 | maven |
該SBOM清單僅展示部分內(nèi)容
完整SBOM清單及檢測報告：
墨菲安全 | 為您提供專業(yè)的軟件供應(yīng)鏈安全管理
關(guān)于墨知
墨知是國內(nèi)首個專注軟件供應(yīng)鏈安全領(lǐng)域的技術(shù)社區(qū)，社區(qū)致力于為國內(nèi)數(shù)百萬技術(shù)人員提供全方位的軟件供應(yīng)鏈安全專業(yè)知識內(nèi)容，包括軟件供應(yīng)鏈安全技術(shù)、漏洞情報、開源組件安全、SBOM、軟件成分分析（SCA）、開源許可證合規(guī)等前沿技術(shù)及最佳實踐。
墨知主要內(nèi)容分類：
- 漏洞分析：漏洞_墨知 (oscs1024.com)
- 投毒分析：投毒分析_墨知 (oscs1024.com)
- 行業(yè)動態(tài)：行業(yè)動態(tài)_墨知 (oscs1024.com)
- 行業(yè)研究：行業(yè)研究_墨知 (oscs1024.com)
- 工具推薦：工具推薦_墨知 (oscs1024.com)
- 最佳實踐：最佳實踐_墨知 (oscs1024.com)
- 技術(shù)科普：技術(shù)科普_墨知 (oscs1024.com)
墨知通過促進(jìn)知識共享、技術(shù)研究和合作交流，幫助組織和個人提高軟件供應(yīng)鏈的安全性，減少供應(yīng)鏈攻擊的風(fēng)險，并保護(hù)軟件生態(tài)系統(tǒng)的整體安全。
進(jìn)入社區(qū)：墨知 - 軟件供應(yīng)鏈安全技術(shù)社區(qū)文章來源：http://www.zghlxwxcb.cn/news/detail-691928.html
原文出處：com.google.guava:guava 組件安全漏洞及健康分析_墨知 (oscs1024.com)文章來源地址http://www.zghlxwxcb.cn/news/detail-691928.html
到了這里，關(guān)于com.google.guava:guava 組件安全漏洞及健康分析的文章就介紹完了。如果您還想了解更多內(nèi)容，請在右上角搜索TOY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！
