php优先级怎么解决，学习web前端是该参加培训还是自学？
学习html5的同学很多都在考虑。没有计算机基础能不能学会呢?在html5开发领域中没有特别的专业区分，能不能学会?跟有没有计算机专业知识也没有太大的关系，只能说有计算机专业，上手会快一点，并不能代表他一定比你学的好。
其实很多计算机专业的学习html5也要从基础班开始学起，而非计算机专业的学员只要比别人多付出点努力，不比那些计算机专业的人学的差。所以主要的还是你感不感兴趣，或者说你是否急需要掌握一门技能来养活自己。只要你想要学习，只要你是用心学习，相信你定不会比任何一个学员差，不过要是你决定了要踏入html5的世界，那你就要做好吃苦的准备，做好奋斗的准备，改变总是痛苦的，没有基础不可怕，没有高学历也不用担心，现在唯一要做的用心的认真的学习。
现在的社会日新月异，高速的发展，需要我们这一代人掌握一定的计算机知识，要不断的学习充电，不断的提升自己的价值，想给自己充电的朋友，建议从现在做起，从当下开始，步步为营，日日精进，总有一天能达到自己的目标。于是总结了几个学习中要注意的要点，希望和各位苦恼于技术水平卡在瓶颈不知道该怎么提高的年轻工程师们分享。
1 夯实基础
要成为一名年薪30W的前端工程师，基础一定要掌握牢固，基础知识一问三不知，岂不是要贻笑大方。css，js基础知识一定要掌握得很熟练，你能使用css实现斑马条纹背景，毛玻璃效果吗？能给图片实现滤镜效果，能实现所有自适应布局效果吗？原型，原型链，闭包是实现设计模式的必备知识，你真的弄懂了吗？闭包导致内存泄漏的原因是什么，你弄明白了吗？ajax跨域的解决方案你可以说几种？9102年了，你还是只告诉我jsonp吗？http协议有了解过吗？如何在http协议中实现不缓存静态资源？
现在是9102年了，这些问题老掉牙了。可是我要告诉你的是，掌握好这些老掉牙的基础，就是很重要。上层的技术可以变更的很快，基础变动很慢，投入时间学好基础，性价比很高。
2 深究原理
Angular，React,Vue框架和脚手架的普及，越来越多的前端工程师浮于表面，调用框架的API完成任务就完事。要成为一名优秀的前端，绝不能成为单纯的"API调用工程师"，一定要掌握框架背后的原理性知识。
Virtual DOM diff算法，双向绑定原理等等框架背后的机制都值得我们去学习。框架API可以更新很快，而他们背后的原理都是相似的，学好原理既可以让我们对框架底层了解更深入，又可以使我们迅速掌握不断更新的框架表层。只会用框架永远也成不了大神。
3 注重细节
在工作中，做事得过且过的人往往难堪大任，作为前端工程师，亦不例外。"代码能用就行"的认识往往是初级程序员的通病。作为有在技术道路上有理想的工程师，一定要对自己的代码严格要求，精益求精。
比如HTML一定要注意语义化以方便SEO优化，该用<section>，<head>，<foot>的地方不能一股脑儿用<div>完事;css中编写样式时不能页面上样式是有了，类名和属性排序写得一塌糊涂，建议大家按照BEM规范编写风格良好的代码；js中变量命名随意是很常见的不规范行为，一个不直观的变量名往往使同事看了脑袋大。
“代码千万行，注释第一行。命名不规范，同事两行泪。“一首流行诗，饱含了多少程序员的血与泪。
4 登高见远
前端经历了这么多年的飞速发展，早已成为浩瀚的大海。如果闷着头独自钻研苦学，那无疑是很慢的。
如果我们直接去跟随大神学习，那将会使我们快速成长。github上有很多优秀的前端项目，仔细研读这些项目的代码，在commit记录中查看编程思想和逻辑的进化过程，就是一场与大神直接的面对面交流，是一场绝妙的学习之旅。
现在网络课程也十分丰富，有很多技术大牛的课程让我们直接通过视频生动的讲解快速地学习技术，这何尝不是一种向大神快速学习的方式呢。
5 良书益友
虽然现在网络上各种文档、博客文章已经很丰富了，但是对工作经验不足，基础薄弱的同学来说，随手拿起书，时时能学习才是王道，查漏补缺，完整地夯实基础。
我推荐几本值得购买的书给大家，《图解HTTP》、《Java设计模式与开发实践》、《深入理解ES6》，《高性能Java》。这些书籍都值得多次反复阅读，对于巩固基础，学习框架原理性知识，写出高性能的代码都是大有裨益的。
6 紧跟潮流
现在的前端技术体系更新十分迅速，想着要不要尝试用下Vue的事仿佛还在昨天，今天一觉醒来就看到尤雨溪宣布要开发Vue3.0了。
前端体系中这两年SPA已经不是新名词，PWA，SSR，小程序愈发流行，前端微服务化的趋势也应运而生，RN,electron在移动端，桌面端的使用也越来越多，ES10标准的发布也没几个月了。
所以最重要的是突破当前岗位需求的设限，对各种技术融会贯通，创造新的技术框架，做技术的领头羊，适应时代发展。技术人成长不能再单打独斗，要学会与人交流，学会将别人的知识为自己所用。如果你依然觉得有些茫然，不如跟有多年前端开发经验的资深工程师聊一聊。
产品经理与程序员如何沟通？
1、 要看到项目层面，不要只看需求本身。
上面说到的几点不管是：“信息不对称“、”沟通的语言不对称“、”思考角度不对称“还是”考核的标准不对称“是我们常见的几个客观隐私。把几个因素抽取出来剖析，发现还是由于我们站问题的视角的高度不一致造成的。
产品经理只是看到自己得到了商业的需求，策划了产品的需求，接下来会把很多事情抛给程序员做了，那还是站在需求方的角色中。那如果真正的是站在意识层面的项目经理的角度，这个时候看待问题的视眼会广很多。
这个时候你就想着为了做这个项目这个需求，程序员是不是明白了为什么要做？是不是对这哪些需求的优先级有了重要的认识？作为产品经理我用怎么样一种表达方式程序员更明白？是不是需要把时间点等划定？目前程序员的资源和服务器情况允许他们能做的空间是多大？怎么样才能拉动他们的积极性更好的完成这个项目？适当的时候，需要帮助程序员做哪些申请或让步？
对产品经理来说，同样张罗一件事情，同样会了得到一个结果，但是中间的过程很可能是完全不一样的。所以因为思考角度仅仅从做完一个需求死磨硬泡上升到，站在项目的角度去考虑各个关节的风险点、时间点，得到的效果是完全不一样的。
2、从理解程序员开始，换位思考会更好。
一直在问一个问题：“程序员是什么一群人？“就和问自己：”产品经理是什么一群人？“一样，有点好笑、有点幼稚。从小工到专家，从CSDN到走出软件作坊，发现很多很多非常优秀的程序员的心声。
程序员是什么样一群人？像切西瓜一样一刀一刀切：
写php的
写Java的
写windows C的
写liunx C的
写C++的
编程水平一般的
编程水平还行的
编程水平牛逼的
编程水平大师级的
构架牛的
数据库牛的
勤奋的
懒于思考的
不会JavaScript的
积极的
喜欢钻研的……
好像都不太合适，因为你找不到解决和工程师沟通的好的办法。而且这些很多是外在的条件，随随都在改变。看到很多朋友一年之间经历几个大项目水平突然猛进，态度、一些特点也变得完全不一样。这个时候你需要的是了解和掌握程序员，作为职场的人，和我们一样的人共同需要的一些特点。
如何成为web前端工程师？
前端工程师，也叫Web前端开发工程师。他是随着web发展，细分出来的行业。
Web前端开发技术主要包括三个要素：HTML、CSS和JavaScript！ 它要求前端开发工程师不仅要掌握基本的Web前端开发技术，网站性能优化、SEO和服务器端的基础知识，而且要学会运用各种工具进行辅助开发以及理论层面的知识，包括代码的可维护性、组件的易用性、分层语义模板和浏览器分级支持等。 随着近两三年来RIA（Rich Internet Applications的缩写，中文含义为：丰富的因特网应用程序）的流行和普及带来的诸如：Flash/Flex，Silverlight、XML和服务器端语言（PHP、ASP.NET，JSP、Python）等语言，前端开发工程师也需要掌握。
前端开发的入门门槛其实很低，与服务器端语言先慢后快的学习曲线相比，前端开发的学习曲线是先快后慢。
HTML 甚至不是一门语言，他仅仅是简单的标记语言！
CSS 只是无类型的样式修饰语言。当然可以勉强算作弱类型语言。
Javascript 的基础部分相对来说不难，入手还算快。
也正因为如此，前端开发领域有很多自学成“才”的同行，但大多数人都停留在会用的阶段，因为后面的学习曲线越来越陡峭，每前进一步都很难。 Web前端技术有一些江湖气，知识点过于琐碎，技术价值观的博弈也难分伯仲，即全局的系统的知识结构并未成体系，这些因素也客观上影响了“正统“前端技术的沉淀！而且各种“奇技淫巧”被滥用，前端技术知识的传承也过于泛泛，新人难看清时局把握主次。因此，前端技术领域，为自己觅得一个靠谱的师兄，重要性要盖过项目、团队、公司、甚至薪水。
另一方面，正如前面所说，前端开发是个非常新的职业，对一些规范和最佳实践的研究都处于探索阶段。
总有新的灵感和技术不时闪现出来，例如CSS sprite、负边距布局、栅格布局等； 各种JavaScript框架层出不穷，为整个前端开发领域注入了巨大的活力； 浏览器大战也越来越白热化，跨浏览器兼容方案依然是五花八门。
为了满足“高可维护性”的需要，需要更深入、更系统地去掌握前端知识，这样才可能创建一个好的前端架构，保证代码的质量。
随着手持设备的迅猛发展，带动了 HTML5行业标准的快速发展。web领域的技术，大概有10年都没有大的更新了！ 现在市场很需要优秀的、高级的前端工程师。
一方面是因为这是一个比较新的细分行业，而且前端程序员大都自学一部分，知识结构不系统；另一方面，大学里面没有这种课程，最最重要的是：北大青鸟这类培训机构也没有专门的前端工程师的培训课程！！ 吴亮在《JavaScript 王者归来》第一张的序里面说：大多数程序员认为 Javascript 过于简陋，只适合一些网页上面花哨的表现，所以不愿花费精力去学习，或者以为不学习就能掌握。 实际上，一门语言是否脚本语言，往往是她的设计目标决定，简单与复杂并不是区分脚本语言和非脚本语言的标准。
事实上，在脚本语言里面，Javascript 属于相当复杂的一门语言，他的复杂度即使放在非脚本语言中来衡量，也是一门相当复杂的语言！ Javascript 的复杂度不逊色于 Perl 和 Python！
我们生活在一个充满规则的宇宙里面。社会秩序按照规则运行，计算机语言几乎全部是规则的集合。计算机前辈们定义规则，规则约束我们，我们用规则控制数据。大部分时候，对数据的合理控制，来自于你对规则的掌握。
学习 HTML，CSS 应该先跟着书仔细、扎实的学一遍。然后就需要做大量的练习，做各种常规的、奇怪的、大量的布局练习来捆固、理解自己的知识。
而学习 Javascript 首先要知道这门语言可以做什么，不能做什么，擅长做什么，不擅长做什么！ 如果你只想当一个普通的前端程序员，你只需要记住大部分 Javascript 函数，做一些练习就可以了。
如果你想当深入了解Javascript，你需要了解 Javascript 的原理，机制。需要知道他们的本源，需要深刻了解 Javascript 基于对象的本质。
还需要 深刻了解 浏览器宿主 下 的 Javascript 的行为、特性。
因为历史原因，Javascript一直不被重视，有点像被收养的一般！ 所以他有很多缺点，各个宿主环境下的行为不统一、内存溢出问题、执行效率低下等问题。
作为一个优秀的前端工程师还需要深入了解、以及学会处理 Javascript 的这些缺陷。 那么一名优秀的、甚至卓越的前端开发工程师的具备什么条件？
首先，优秀的Web前端开发工程师要在知识体系上既要有广度和深度！做到这两点，其实很难。所以很多大公司即使出高薪也很难招聘到理想的前端开发工程师。技术非黑即白，只有对和错，而技巧则见仁见智。
在以前，会一点Photoshop和Dreamweaver的操作，就可以制作网页。 现在，只掌握这些已经远远不够了。无论是开发难度上，还是开发方式上，现在的网页制作都更接近传统的网站后台开发，所以现在不再叫网页制作，而是叫Web前端开发。
Web前端开发在产品开发环节中的作用变得越来越重要，而且需要专业的前端工程师才能做好。
Web前端开发是一项很特殊的工作，涵盖的知识面非常广，既有具体的技术，又有抽象的理念。
简单地说，它的主要职能就是把网站的界面更好地呈现给用户。 其次，优秀的Web前端开发工程师应该具备快速学习能力。
Web发展的很快，甚至可以说这些技术几乎每天都在变化！如果没有快速学习能力，就跟不上Web发展的步伐。前端工程师必须不断提升自己，不断学习新技术、新模式；仅仅依靠今天的知识无法适应未来。
Web的明天与今天必将有天壤之别，而前端工程师的工作就是要搞清楚如何通过自己的Web应用程序来体现这种翻天覆地的变化。
说到这里，我想起了一个大师说过的一句话：对于新手来说，新技术就是新技术。 对于一个高手来说，新技术不过是就技术的延伸。 再者，优秀的前端工程师需要具备良好的沟通能力，因为前端工程师至少都要满足四类客户的需求。
1、产品经理。这些是负责策划应用程序的一群人。他们会想出很多新鲜的、奇怪的、甚至是不可是实现的应用。一般来说，产品经理都追求丰富的功能。
2、UI设计师。这些人负责应用程序的视觉设计和交互模拟。他们关心的是用户对什么敏感、交互的一贯性以及整体的好用性。一般来说，UI设计师于流畅靓丽、但并不容易实现的用户界面，而且他们经常不满前端工程师造成 1px 的误差。
3、项目经理。这些人负责实际地运行和维护应用程序。项目管理的主要关注点，无外乎正常运行时间、应用程序始终正常可用的时间、性能和截止日期。项目经理追求的目标往往是尽量保持事情的简单化，以及不在升级更新时引入新问题。
4、最终用户。指的是应用程序的主要消费者。尽管前端工程师不会经常与最终用户打交道，但他们的反馈意见至关重要。最终用户要求最多的就是对个人有用的功能，以及竞争性产品所具备的功能。
Yahoo 公司 ，YUI 的开发工程师 Nicholas C. Zakas 认为： 前端工程师是计算机科学职业领域中最复杂的一个工种。绝大多数传统的编程思想已经不适用了，为了在多种平台中使用，多种技术都借鉴了大量软科学的知识和理念。成为优秀前端工程师所要具备的专业技术，涉及到广阔而复杂的领域，这些领域又会因为你最终必须服务的各方的介入而变得更加复杂。专业技术可能会引领你进入成为前端工程师的大门，但只有运用该技术创造的应用程序以及你跟他人并肩协同的能力，才会真正让你变得优秀。
关于书籍： HTML、CSS 类别书籍，都是大同小异，在当当网、卓越网搜索一下很多推荐。如果感觉学的差不多了，可以关注一下《CSS禅意花园》，这个很有影响力。Javascript 的书籍 推荐看老外写的，国内很多 Javascript 书籍的作者对 Javascript 语言了解的都不是很透彻。
这里推荐几本 Javascript 书籍： 初级读物：
《JavaScript高级程序设计》：一本非常完整的经典入门书籍，被誉为JavaScript圣经之一，详解的非常详细，最新版第三版已经发布了，建议购买。
《JavaScript王者归来》: 百度的一个Web开发项目经理写的，作为初学者准备的入门级教程也不错。 中级读物：
《JavaScript权威指南》：另外一本JavaScript圣经，讲解的也非常详细，属于中级读物，建议购买。
《JavaScript语言精粹》： Yahoo大牛，JavaScript精神领袖Douglas Crockford的大作，虽然才100多页，但是字字珠玑啊！强烈建议阅读。
《高性能JavaScript》：《JavaScript高级程序设计》作者Nicholas C. Zakas的又一大作。
《Eloquent JavaScript》：这本书才200多页，非常短小，通过几个非常经典的例子（艾米丽姨妈的猫、悲惨的隐士、模拟生态圈、推箱子游戏等等）来介绍JavaScript方方面面的知识和应用方法。
高级读物： 《JavaScript Patterns 》：书中介绍到了各种经典的模式，如构造函数、单例、工厂等等，值得学习。
《Pro.JavaScript.Design.Patterns》： Apress出版社讲解JavaScript设计模式的书，非常不错。
《Developing JavaScript Web Applications》：构建富应用的好书，针对MVC模式有较为深入的讲解，同时也对一些流程的库进行了讲解。
《Developing Large Web Applications |开发大规模Web应用》：不仅有JavaScript方面的介绍，还有CSS、HTML方面的介绍，但是介绍的内容却都非常不错，真正考虑到了一个大型的Web程序下，如何进行JavaScript架构设计，值得一读。 要做优秀的前端工程师，还需要继续努力：
《高性能网站建设指南》、《Yahoo工程师的网站性能优化的建议》、“YSLOW”性能优化建议、《网站重构》、《Web开发敏捷之道》、“ jQuery 库”、“前端框架”、“HTML5”、“CSS3”…… 这些都要深入研究！
万事开头难！如果你能到这个境界，剩下的路自己就可以走下去了。
人们常说：不想当裁缝的司机，不是个好厨师。
如果单纯只是学习前端编程语言、而不懂后端编程语言（PHP、ASP.NET，JSP、Python），也不能算作是优秀的前端工程师。
在成为一个优秀的前端工程师的道路上，充满了汗水和辛劳。
nginx如何配置？
Nginx概述Nginx是lgor Sysoev为俄罗斯访问量第二的rambler.ru站点设计开发的。从2004年发布至今，凭借开源的力量，已经接近成熟与完善。
Nginx功能丰富，可作为HTTP服务器，也可作为反向代理服务器，邮件服务器。支持FastCGI、SSL、Virtual Host、URL Rewrite、Gzip等功能。并且支持很多第三方的模块扩展。
常用功能反向代理，代理对象为服务端做代理，使客户端不需要感知服务端的存在，只需要访问代理服务器便可获得想要的结果。实现限流、负载均衡、动静分离等。负载均衡（Load Balance），是分布式系统中一个非常重要的概念。当访问的服务具有多个实例节点时，需要根据某种“均衡”的策略决定请求发往哪个节点，这个过程就是所谓的负载均衡。多在高并发情况下需要使用。其原理就是将数据流量分摊到多个服务器执行，减轻每台服务器的压力，多台服务器(集群)共同完成工作任务，从而提高了数据的吞吐量。Nginx是一个轻量级、高性能、稳定性高、并发性好的HTTP和反向代理服务器。web缓存，Nginx可以对不同的文件做不同的缓存处理，配置灵活，并且支持FastCGI_Cache，主要用于对FastCGI的动态程序进行缓存。配合着第三方的ngx_cache_purge，对制定的URL缓存内容可以的进行增删管理配置示例修改Nginx目录下nginx.conf配置文件，如下所示：
upstream server {
ip_hash;
server 192.168.200.129:80; #第一台负载的ip及端口
server 192.168.200.131:80; #第二台负载的ip及端口
}
server {
listen 80;
server_name localhost Nginx_ip;
location / {
proxy_pass http://server;
proxy_redirect default;
}
}
参数说明upstreamupstream模块主要负责负载均衡的配置，通过默认的轮询调度方式来分发请求到后端服务器。
upstream backend {
server backend1.example.com weight=5;
server backend2.example.com fail_timeout=5s slow_start=30s;
server backend3.example.com resolve;
server backend4.example.com service=http resolve;
server backup1.example.com backup;
server backup2.example.com backup;
}
serverserver模块配置是http模块中的一个子模块，用来定义一个虚拟访问主机。
server {
listen 80;
server_name localhost nginx_ip;
root /nginx/www;
index index.php index.html index.html;
charset utf-8;
access_log logs/access.log;
error_log logs/error.log;
}
locationlocation模块配置在路由访问信息配置中关联到反向代理、负载均衡等等各项功能。
语法规则： location [=|~|~*|^~] /uri/ { … }
多个location优先级：首先匹配 =，其次匹配^~, 其次是按文件中顺序的正则匹配，最后是交给 / 通用匹配。当有匹配成功时候，停止匹配，按当前匹配规则处理请求。
location / {
root /nginx/www;
index index.php index.html index.htm;
}
location ^~ /test {
proxy_pass http://backend;
proxy_redirect off;
proxy_set_header Host $host;
}
location /：表示匹配访问根目录。
root：用于指定访问根目录时，访问虚拟主机的web目录。
index：在不指定访问具体资源时，默认展示的资源文件列表。
如果解决了你的疑惑，请点点关注和评论，谢谢支持。
正春华枝俏，待秋实果茂，与君共勉。
开源软件漏洞数量在过去一年有怎样的变化？
几年前，“开源”还是点点星火，如今已成燎原之势。在过去的2018年，企业都在积极加强自己在开源方面的实力，IBM大手笔340亿美元收购了RedHat，微软75亿美元收购了GitHub。
开源软件蓬勃发展的同时，安全漏洞风险也在增加。SNYK不仅向500多名开源用户和维护人员分发了调查报告，同时也监控了SNYK内部监控和保护的数十万个项目的漏洞数据，并结合外部研究，发布了2019年开源安全状况报告。
首先，我们先来看几个关键性结论：
2017年到2018年，包管理工具索引的开源包数量呈爆炸式增长，其中Maven Central增长了102%，PyPI增长了40%，NPM增长了37%，NuGet增长了26%，RubyGems增长了5.6%。
应用程序的漏洞在短短两年的时间内增加了88%，其中SNYK跟踪的Rhel、Debian和Ubuntu的漏洞数量，2018年是2017年的四倍多。
最受欢迎的默认Docker映像Top 10中的每一个都至少包含30个易受攻击的系统库，其中44%可以通过更新Docker映像来修复已知漏洞。
调查显示，37%的开源开发人员在CI期间不会进行任何的安全测试，54%的开发人员不会进行Docker映像的安全测试，而从漏洞出现在开源包中到漏洞修复的时间可能会超过两年。
调查显示，81%的调查者认为开发人员应该负责开源安全，68%的调查者认为开发人员应承担Docker容器镜像的安全；但只有十分之三的开源维护人员认为自己应该具备较高的安全知识。
开源应用开源软件对现代软件开发产生了深远的影响，并且这种影响力还在每年递增。据GitHub报告称，2018年新用户的注册量超过了之前六年的总和，且平台上创建的新组织和新存储库增加了40%。另外，开源软件同时也推动了语言和平台的发展，影响了行业增长，Forrester报告称，开源软件是业务技术战略的重要组成部分。
前文我们曾提到，科技公司都在大量使用开源，每个编程语言生态系统中都有越来越多的开源库被索引，且有的增长率实现了两位数，甚至是三位数的增长（Maven Central实现了102%的三位数增长。）
开源的使用正走在高速路上，2018年Java包增加了一倍，NPM增加了大约250000个新包。
据Linux基金会报告称，2018年开源贡献者提交了超过310亿行的代码，这些代码一旦要在实际的生产环境中使用，那么拥有、维护和使用此代码的人就必须承担一定的责任，规避风险。
据CVE列表报告显示，2017年总共有14000+个漏洞，打破了CVE一年内报告的漏洞记录，而2018年，漏洞数量继续上升，超过了16000个。
我们在调查中关注了不同生态中不同软件包的下载数量，同时也关注了这些开源软件包如何转化为用户采用。
根据Python注册表显示，PYPI在2018年的下载量超过140亿，相比于2017年报告中的63亿，下载量增加了一倍。从下表中我们可以看到在8月份的时候，下载量出现了激增的情况，这是由于LineHaul（PYPI的统计收集服务）出现故障造成的，该故障导致在8月之前大半的下载量丢失。
另外，开源软件消费也取得了巨大的飞跃，从PYPI中下载python包的数量是原来的两倍，从NPM下载javascript包的数量更是惊人，达到3170亿个。
NPM注册表是整个JavaScript生态系统的核心。在过去的几年中，无论是添加还是下载的软件包数量都稳步增，仅2018年12月的一个月时间就有300多亿次。
而Docker的采用也促进了开源软件的增长，据悉，Docker公司在2018年每两周就有超过10亿个容器下载，截止到目前，数量约有500亿个。仅2018年一年就有超过100万个新的应用程序添加到Docker Hub中。
风险和影响而伴随着软件包数量的增加，是漏洞的增加，前文我们提到了2018年新漏洞数量再创新高，超过16000个。
在GitHub发布的Octoverse报告中，Security成为了最受欢迎的项目集成应用程序。而Gartner的行业分析师在最近的一份应用程序安全报告中也表示企业应该在应用程序生命周期中尽早测试安全性。
开源软件使用的越多，代码中自然就包含了更多其他人的代码，累积的风险就会越大，因为这些代码目前或者是将来可能会包含漏洞。当然，这里的风险并不单单是指代码的安全性，同时也包括了所采用代码的许可以及该代码是否违反了许可证本身。
在接受调查的受访者中，43%至少有20个直接依赖关系，这无疑就需要增强对这些引入库的源码的监控。而事实上，只有三分之一的开发人员可以在一天或更少的时间内解决严重性漏洞。
“企业应定期使用SCA工具来审计包含软件资产（如版本控制和配置管理系统）的存储库，以确保企业开发和使用的软件符合安全和法律标准、规则和法规。另外，应用程序开发人员也可以使用SCA工具来检查他们计划使用的组件。
如今，没有开源依赖的情况下写代码几乎是不可能完成的任务，所以正确跟踪所依赖的库就成为了一个难题。采取何种措施才能既消除漏洞，同时还能保持依赖项之间的兼容性？
NPM、Maven和Ruby中的大多数依赖项都是间接依赖项，由少数明确定义的库请求。在调查中，Snyk扫描了100多万个快照项目，发现间接依赖项中的漏洞占整个漏洞的78%，这说明我们需要进一步增强对依赖树的洞察，并突出脆弱路径的细微差别。
开源维护者的安全状况虽然在大多数开发人员和维护人员都认同在构建产品和编写代码时，安全性是非常重要的，但是对他们而言，在构建开源项目时没有“教科书式”的规则可供他们参考，因此安全标准可能有很大的不同。
在今年的调查中，大部分用户（平均每10个用户中就有6.6个）都将他们的安全技术选择在中等水平，7%的受访者认为目前的安全技术水平较低。
相应的专业知识排名，2019年的排名发生了一些变化，尤其是High和Low，其中High占据了30%，Medium占据了63%，而low占据了7%，而在2017年，High只占了17%，low占了26%。
在调查过程中，我们还发现了维护人员通常都会将时间和经历放在项目的功能性方面，而往往忽视了安全性。
安全审计安全审计作为代码审查的一部分，其中需要双方确保遵循安全代码最佳实践，或者采取另一种方式，即通过运行不同的安全审计变体，如静态或动态应用程序安全测试。
无论是手动审计还是自动审计，它们都是检测和减少应用程序中漏洞的重要组成部分，并且应该在开发阶段尽可能早地定期执行，以降低后期暴露和数据泄露的风险。
去年，有44%的受访者表示他们从未进行过安全审计，而今年，这一数字要低得多，只有26%的用户表示他们没有审计源码。与去年的报告相比，今年重复审计也呈现出了积极的趋势，以季度和年度为单位，有10%的用户会经常的审计代码。