cargo-auditable 实战教程：5个步骤为你的 Rust 项目添加供应链安全

【免费下载链接】cargo-auditable Make production Rust binaries auditable 项目地址: https://gitcode.com/gh_mirrors/ca/cargo-auditable

cargo-auditable 是一款强大的 Rust 工具，能够让你的生产环境二进制文件具备可审计性，通过在编译后的可执行文件中嵌入依赖树数据，帮助你在生产环境中大规模审计已知漏洞或安全问题，无需繁琐的记录工作。

📋 什么是 cargo-auditable？

cargo-auditable 通过将依赖树数据以 JSON 格式嵌入到编译后的可执行文件的专用链接器部分，使你能够准确了解构建 Rust 可执行文件时使用的 crate 版本。这一功能目前已得到 Linux、Windows、Mac OS 以及 WebAssembly 的官方支持，所有其他 ELF 目标理论上也能工作，但未在 CI 上进行测试。

🚀 为什么需要为 Rust 项目添加供应链安全？

在当今软件供应链日益复杂的环境下，第三方依赖可能引入安全风险。cargo-auditable 生成的软件物料清单（SBOM）虽然不能防止供应链攻击，但能帮助你：

• 快速识别生产环境中使用的依赖版本
• 及时发现并修复已知漏洞
• 满足合规性要求
• 提高软件透明度和可追溯性

🔧 5个步骤为 Rust 项目添加供应链安全

步骤1：安装必要工具

首先，你需要安装 cargo-auditable 工具以及用于漏洞扫描的 cargo-audit：

# 安装工具
cargo install cargo-auditable cargo-audit

这个简单的命令会从 crates.io 下载并安装最新版本的工具，让你能够立即开始使用。

步骤2：使用 cargo auditable 构建项目

安装完成后，使用 cargo auditable 命令替代常规的 cargo build 命令来构建项目：

# 构建项目并在二进制文件中嵌入依赖列表
cargo auditable build --release

cargo auditable 可以与任何 Cargo 命令一起使用，所有参数都将原样传递给 cargo。这意味着你可以像平常一样使用 cargo auditable run、cargo auditable test 等命令。

步骤3：扫描二进制文件中的漏洞

构建完成后，使用 cargo audit 命令扫描生成的二进制文件，检测潜在的安全漏洞：

# 扫描二进制文件以查找漏洞
cargo audit bin target/release/your-project

将 your-project 替换为你的实际可执行文件名。cargo-audit 会解析嵌入的依赖数据，并与 RustSec 漏洞数据库进行比对，报告任何已知的安全问题。

步骤4：在 nightly Rust 上使用高级功能

如果你使用 nightly Rust，可以利用 Cargo 的原生 SBOM 前体功能更准确地记录依赖：

CARGO_BUILD_SBOM=true cargo +nightly auditable build -Z sbom --release

⚠️ 注意：由于 Cargo 中的一个 bug，如果你在同一项目中既使用了 cargo auditable 又没有使用 -Z sbom，可能需要先执行 touch src/* 或 cargo clean。

步骤5：集成到现有工作流

将 cargo-auditable 集成到你的日常开发和 CI/CD 工作流中：

• 本地开发：设置别名使 cargo 默认使用 auditable：

  alias cargo="cargo auditable"
  

• CI/CD 管道：在构建步骤中使用 cargo auditable 替代 cargo

• 发布流程：对于 GitHub 发布，可以使用支持 cargo-auditable 的 cargo dist 工具

🛠️ 数据消费工具

cargo-auditable 生成的数据可以被多种工具消费，帮助你更好地管理供应链安全：

漏洞报告工具

• cargo audit：v0.17.3+ 可以检测二进制文件中的数据并报告漏洞
• trivy：v0.31.0+ 能够检测二进制文件中的数据并报告漏洞
• grype：v0.83.0+ 可检测二进制文件和容器镜像中的数据
• osv-scanner：v2.0.1+ 在扫描容器镜像时读取此数据

依赖列表恢复工具

• syft：v1.15.0+ 支持恢复数据并转换为多种格式
• docker：支持将 CycloneDX 文档嵌入容器镜像
• blint：v2.1.3+ 可以恢复数据并输出为 CycloneDX
• wasm-tools：v1.227.0+ 可以从 WebAssembly 中恢复数据
• rust-audit-info：从二进制文件中恢复依赖列表并以 JSON 格式打印
• auditable2cdx：从二进制文件中恢复依赖列表并以 CycloneDX 格式打印

❓ 常见问题解答

这个工具会增加我的二进制文件大小吗？

不会。即使在包含 400 多个条目的大型依赖树上，嵌入的依赖列表也只占用不到 4kB 的空间。这通常只占二进制文件大小的 1/1000 到 1/10000。

这会影响可重现构建吗？

数据格式经过专门设计，不会干扰可重现构建。它不包含时间戳，生成的 JSON 经过排序以确保在不同编译之间保持一致。实际上，这有助于可重现构建，因为你现在可以知道给定二进制文件的所有版本信息。

这会泄露敏感信息吗？

不会。所有 URL 和文件路径都经过脱敏处理，但 crate 名称和版本会按原样记录。目前，panic 消息已经披露了所有这些信息甚至更多。此外，根据 MIT 和许多其他许可证的要求，你可能在法律上有义务披露特定开源 crate 的使用情况。

🎯 总结

通过以上 5 个简单步骤，你可以为 Rust 项目添加强大的供应链安全审计能力。cargo-auditable 不仅易于集成到现有工作流中，还能与多种安全工具配合使用，帮助你在整个软件开发生命周期中保持对依赖项的可见性和控制。

无论你是个人开发者还是大型团队的一员，cargo-auditable 都是提升 Rust 项目安全性的必备工具。立即开始使用，为你的 Rust 二进制文件添加审计能力，保障软件供应链的安全！

【免费下载链接】cargo-auditable Make production Rust binaries auditable 项目地址: https://gitcode.com/gh_mirrors/ca/cargo-auditable