?譯者 | 胥磊

審校 | 孫淑娟

在過去的幾年中,低代碼和無代碼工具以及平臺在企業(yè)中興起。2021年，Gartner魔力象限在關(guān)于低代碼的報告中指出，41%的非IT從業(yè)人員使用低代碼/無代碼工具來定制、構(gòu)建數(shù)據(jù),或提出技術(shù)解決方案。同時Gartner預(yù)測到2025年底,將有一半的新增低代碼用戶來自從事非IT 行業(yè)的商業(yè)客戶。

低代碼/無代碼工具提供支持拖放的交互界面,使得即使非程序員也能夠創(chuàng)建或修改應(yīng)用程序。從而，用戶能夠開發(fā)出新的數(shù)據(jù)驅(qū)動的應(yīng)用程序，而且無需再依賴傳統(tǒng)的開發(fā)團隊。低代碼/無代碼框架允許企業(yè)通過使用預(yù)建的應(yīng)用組件“塊”輕松創(chuàng)建可快速部署的應(yīng)用程序。

低代碼/無代碼平臺以及工具針對的是兩類完全不同的用戶。一類是非技術(shù)人員，他們使用這些工具來創(chuàng)建自己的應(yīng)用程序，通常是為了簡化自己的工作流程,以及連通那些可能還互不通信的產(chǎn)品。另一類用戶則是傳統(tǒng)開發(fā)人員，使用這些預(yù)建的組件使他們的工作變得更簡單，同時幫助他們快速組合這些預(yù)建的關(guān)鍵業(yè)務(wù)應(yīng)用組件。

Mendix最近進行的一項調(diào)查顯示，64%的IT專業(yè)人士認為低代碼是他們首選的開發(fā)解決方案。另外多達59%的低代碼項目都是業(yè)務(wù)團隊和IT團隊協(xié)作完成的，這意味著你需要像考慮其他第三方代碼組件一樣去考慮軟件供應(yīng)鏈中的低代碼/無代碼組件。

低代碼/無代碼的風(fēng)險

與使用基于容器的架構(gòu)或Serverless計算的傳統(tǒng)開發(fā)模式一樣，采用低代碼/無代碼模式同樣存在與軟件供應(yīng)鏈相關(guān)的業(yè)務(wù)風(fēng)險。任何模式的實現(xiàn)都依賴于提供的框架建立在安全可靠的基礎(chǔ)上，要求他們不能含有那些可能違反法規(guī)或發(fā)生網(wǎng)絡(luò)安全事件時會直接影響企業(yè)商譽的功能。

舉一個關(guān)于使用容器的案例：我們曾看到大量的相關(guān)報告，惡意用戶在容器鏡像中植入隱藏的流氓軟件，然后將鏡像發(fā)布到公共Docker注冊。這是一個很大的庫，因為其信譽良好從中提取容器鏡像的用戶很少會再去檢查一下。然而一旦沒有對那些問題鏡像進行確切的檢查，任何引用它們的部署都將會為各種網(wǎng)絡(luò)威脅打開大門，包括威脅數(shù)據(jù)安全的非預(yù)期功能。這就是軟件供應(yīng)鏈成為網(wǎng)絡(luò)安全團隊首要考慮的原因之一。

框架與第三方 API 的交互

2021年教會了我們一件關(guān)于軟件的事情就是供應(yīng)鏈很復(fù)雜！攻擊者通過利用我們對開發(fā)范例的信任不斷尋找漏洞。

向非技術(shù)人員推出低代碼/無代碼產(chǎn)品帶來的安全風(fēng)險可能比用戶了解到的更為復(fù)雜。非技術(shù)人員可能也知道他們的應(yīng)用有數(shù)據(jù)隱私相關(guān)的需求，但是完全不清楚框架如何與第三方API進行交互，滿足需求更是無從談起。從而可能無意中使他們的企業(yè)違反了相關(guān)法規(guī)要求。例如加利福尼亞隱私權(quán)法案(CPRA)定義了幾種新的個人身份信息(PII)隱私權(quán)法案，并為相關(guān)數(shù)據(jù)傳輸?shù)陌踩髷U展了相關(guān)法案(CPPA)的定義。熟悉 CCPA 需求并使用低代碼/無代碼框架的非技術(shù)人員可能不知道如何正確處理這些新需求，甚至不知道框架是如何處理它們的。所以購買低代碼/無代碼解決方案的企業(yè)應(yīng)在其供應(yīng)商選擇過程中關(guān)注以下內(nèi)容：

• 全面結(jié)合通用安全框架的安全審查，如 NIST 800-218《安全軟件開發(fā)框架V1.1》。
• 供應(yīng)商提供的軟件物料清單(SBOM)需要描述支持低代碼/無代碼框架的軟件供應(yīng)鏈的復(fù)雜性。
• 審查數(shù)據(jù)傳輸和 API 使用情況，以確定數(shù)據(jù)處理的監(jiān)管影響。
• 了解低代碼/無代碼供應(yīng)商針對處理漏洞補丁的服務(wù)級別協(xié)議。

底線，它仍然是代碼

雖然低代碼/無代碼框架為開發(fā)人員以及非技術(shù)人員提供了一種簡單的開發(fā)模式，但它們?nèi)匀恍枰a提供支持的。“低代碼”和“無代碼”是指用戶需要知道多少代碼來實現(xiàn)應(yīng)用，而不是它們包含多少代碼。

與所有當(dāng)下的軟件一樣，低代碼/無代碼框架也是依賴許多的代碼庫構(gòu)建的：商業(yè)的第三方服務(wù)商、開源組件以及云 API 服務(wù)，這其中的每一個都代表一個獨立的代碼分支，每個分支又可以再包含自己的代碼分支。這些分支一起構(gòu)成了現(xiàn)在的服務(wù)供應(yīng)鏈，因此該鏈中的任何妥協(xié)都可能帶來相關(guān)攻擊。這就是為什么要了解你的軟件供應(yīng)鏈?zhǔn)侨绱酥匾脑颉＜词箤τ诘痛a/無代碼框架也是如此，因為仍然有代碼為這些應(yīng)用程序提供支持。如果框架提供者沒有能力管理相關(guān)風(fēng)險，那么最終承擔(dān)這些風(fēng)險的就是該框架的使用者了。

譯者介紹

胥磊，51CTO社區(qū)編輯，某頭部電商技術(shù)副總監(jiān)，關(guān)注Java后端開發(fā)，技術(shù)管理，架構(gòu)優(yōu)化，分布式開發(fā)等領(lǐng)域。

原文標(biāo)題：??Low Code Does Not Mean Low Risk??，作者：Tim Mackey