DevSecOps 自动化工具:流水线中该放什么、不该放什么

GrammaTech 客座文章指出 DevSecOps 的盲区：即使 SAST（如 CodeSonar）、自动化测试与 MR 卡点齐备，也少有人从攻击者视角审视技术栈；渗透测试思维正是补齐这一缺口的关键。

企业级 GitLab 部署指南，对比 GitLab.com、Dedicated 与自托管三种模式，并就 Runner 规划、可用性、灾难恢复和大规模流水线性能给出建议。

AI 代码审查与 SAST 捕获的漏洞类型各不相同，两者各有优势。本文介绍如何决定在哪类场景下使用哪一种，以及团队何时需要同时部署两者。

这篇内容为安全团队开展监测、验证和修复提供最新背景。

CVSS、EPSS 和 KEV 均围绕已公开的 CVE 设计，无法为自己应用代码中的租户边界缺陷、可重放审批逻辑等安全发现打分。本文给出在持续测试队列中为这类无 CVE 发现排定修复优先级的实用方法。

Borg 认为发布流程中的安全审查排队本质是容量问题而非安全问题：依赖扫描、密钥扫描、静态分析已覆盖已知模式，应把人力留给真正需要判断的环节（如授权边界的真实意图），其余在每次合并时自动执行。