Synapse：一个确定性优先的开源SCA与证据平台

最近我们开源了 Synapse，一个用于软件成分分析（SCA）、侦察、证据收集和报告的管理控制平面。说白了，就是给那些需要扫描依赖树、证明自己发现了什么、然后交出一份经得起推敲的报告的人用的。

项目地址：https://synapse.kkloudtarus.net/
代码仓库：https://github.com/KKloudTarus/synapse-ce （Apache-2.0 许可证）

为什么我们要造这个轮子

先说说现状，干过安全评估的兄弟应该都有共鸣。通常的工作流是这样的：用工具A生成SBOM，工具B扫漏洞，用Excel管理许可证，截一堆图作为证据，最后手动拼一份报告。整个过程支离破碎，而且几乎不可复现——当客户问“你怎么证明这个结果是真实的”时，答案往往只存在于某个人的记忆里。

更糟的是，现在有人开始用LLM自动生成发现结果，这只会让问题更严重。你根本无法证明那些发现是真的还是模型瞎编的。

所以我们想要一个完全相反的东西：既要快，又要可证明。这就是 Synapse 的出发点。

它到底是什么

Synapse 是一个用 Go 写的、遵循整洁架构的控制平面，把整个评估生命周期统一管理起来。核心设计理念有几个：

确定性优先

扫描、匹配、许可证分类、报告生成——所有这些环节都是纯 Go 实现，不依赖任何模型。这意味着每次运行同样的输入，你都会得到同样的输出。报告路径里没有模型，没有随机性，没有“这次跑和上次跑结果不一样”的尴尬。

范围限定的执行

每次评估都带有一个明确的范围（scope）和一个授权时间窗口（authorization window）。这些约束在服务端强制执行，任何工具在运行前都会先检查。也就是说，你不可能因为配置错误而扫描到不该扫描的东西。

防篡改的证据链

每个生成的工件都会被加入哈希链，并且只能追加，不能修改或删除。如果链断了，报告就生成不了。这相当于给你的证据加了个“封条”，谁动了都能查出来。

有边界的自动化

可选的AI层有权限，但权限是受限的：它只能提出建议。最终确认必须由另一个验证者（可以是独立的验证器模块，也可以是人）来做。AI永远不能自己确认自己提出的发现。这个设计很重要，因为它防止了自动化的“幻觉污染”。

当前已经支持的功能

• SBOM 生成：覆盖 15+ 个生态系统
• 多源漏洞检测：支持基于风险优先级排序（先看 KEV（已知被利用漏洞），再看 EPSS（利用预测评分系统），最后看 CVSS（通用漏洞评分系统））
• 许可证合规检查
• 可达性分析
• 确定性报告：输出格式包括 CycloneDX、SPDX、SARIF、OpenVEX

上手试试

git clone https://github.com/KKloudTarus/synapse-ce.git
cd synapse-ce
docker compose -f deploy/docker-compose.full.yml up --build
# 打开 http://localhost:5173

或者直接在 CI 里用，只关注真正的高风险：

./bin/synapse-cli scan . --fail-on high

我们为什么开源

这种工具，看的人越多就越靠谱。如果你有兴趣参与，以下几个方向是很好的切入点：

• 新的生态系统和 lockfile 解析器：比如支持更多语言的依赖解析
• 检测质量和误报率优化：减少假阳性是永恒的追求
• 可达性和 SAST（静态应用安全测试）覆盖：让分析更深入
• 报告和标准支持：OpenVEX、CSAF（通用安全咨询框架）、SARIF 等
• Dashboard 和文档：前端用 Vite + React + Tailwind，欢迎 PR

建议先看文档和 CONTRIBUTING 文件，本地跑起来，然后开 issue 或直接提 PR。

一个重要的提醒

Synapse 只用于授权的安全测试。它会验证你传入的范围数据，但无法核实你的法律授权。所以请只对你被授权测试的系统使用它。

如果你觉得这个项目有用，给个 star 能让更多人看到。如果你想一起搞，开个 issue 打个招呼就行。