我们公司就这样，每次commit code之后whitesource都是自动扫描看看有没有CVE风险
每次release更是扫的彻底

【 在 dukenuke 的大作中提到: 】
: 一般不是补不上就不补了，挡住就行了吗。
: 比如我的系统里有内部的postgresql服务，只给我自己的几个应用存内部数据，防火墙上把端口都封了。那我弱密码就弱密码，旧版本就旧版本，有什么危险呢？
: 例如我的系统平台3年前建，用的kafka0.8，现在都3.1了，后台服务依赖都二合一了，外部API也几乎全变了，0.8官方也停止维护有一阵了。正常做法不应该是把Kafka的内部通信跟外部全封掉，完全对外隐蔽苟着么？
: ...................
--
FROM 120.246.125.*