DE-GitHub-3 供应链大屏（毕枫林、伍泰炜）

[will-ww]

目前实验室采集了部分供应链的数据：http://data-status.x-lab.info/

前面也讨论过部分外部信息：https://github.com/X-lab2017/open-wonderland/discussions/230

中科院的供应链前期积累：参照相关论文

孙晴_2030785_电子与信息工程学院_基于开源软件维护性特征的开源软件供应链风险预测方法研究.pdf

供应链是个非常不错的视角，基于编程语言的一种划分，同时也能形成依赖网络。

[bifenglin]

数据集讨论：

1. 目前我们已有的与供应链相关数据为GH archive数据（包含github 协作行为日志数据），Library.io的数据（制品库数据），目前可以基于以上数据进行分析设计。
2. 我认为还可以收集的数据为 https://deps.dev/ 的数据，包含依赖关系

   和 https://osv.dev/ 的数据，包含漏洞数据

   

其中osv的讨论如 #230 library.io数据在 http://data-status.x-lab.info/

基于此，我们目前可以考虑的指标可以有

1. 依赖所有的包，参与依赖包的人数，总提交数等求和信息。
2. 包更新频率、包发布频率时序信息，再加上不同制品库数量的比例，不同制品库之间的人数对比等对比信息。
3. 包的活跃度排名，影响力排名等排名信息
4. 包的开发者人员地域信息

[will-ww]

OSSI 开源安全工具指数：链接

[bifenglin]

OSSI 开源安全工具指数：链接

该链接已失效。

[will-ww]

OSSI 开源安全工具指数

Google一下：https://www.secrss.com/articles/51844

[bifenglin]

[bifenglin]

示例如上，包含：

1. 制品库统计信息
2. License使用情况
3. 漏洞总量、供应链项目总量、语言总量、License总量
4. 最受欢迎的语言排名
5. Top安全项目指数
6. Top安全项目的watcher与contributor
7. 软件供应链根据语言进行的统计信息

[bifenglin]

样式优化与指标修改的最新版本，看看大家有什么建议

[bifenglin]

部分数据来自：

• https://deps.dev/
• https://osv.dev
• https://www.cert.org.cn/publish/main/upload/File/2021%20Risk%20Analysis%20Report%20of%20Open%20Source%20Software%20%20.pdf