当前位置：首页 > news >正文

Flowise开源安全审计：依赖漏洞扫描与SBOM生成实践指南

news 2026/4/29 8:30:10

Flowise开源安全审计：依赖漏洞扫描与SBOM生成实践指南

1. 为什么需要关注Flowise的安全审计

当你使用Flowise这样的开源工具来构建AI工作流时，可能更关注它的功能和易用性。但作为一个需要部署到生产环境的系统，安全审计同样重要。

想象一下：你的Flowise实例处理着公司敏感数据，如果其中某个依赖库存在漏洞，攻击者可能通过这个漏洞获取系统权限，导致数据泄露甚至系统瘫痪。这不是危言耸听，近年来多个重大安全事件都源于第三方依赖的漏洞。

SBOM（软件物料清单）就像是软件的"成分表"，它详细列出了所有使用的开源组件及其版本信息。当出现新的安全漏洞时，有了SBOM就能快速定位哪些系统受影响，及时采取修复措施。

2. 准备工作与环境配置

2.1 系统要求与工具安装

在进行安全审计前，需要准备以下工具和环境：

# 安装必要的系统工具 sudo apt update sudo apt install -y git curl wget jq # 安装Node.js（如果尚未安装） curl -fsSL https://deb.nodesource.com/setup_18.x | sudo -E bash - sudo apt-get install -y nodejs # 安装pnpm（Flowise使用的包管理器） npm install -g pnpm # 安装安全扫描工具 npm install -g npm-audit

2.2 获取Flowise源代码

# 克隆Flowise仓库 git clone https://github.com/FlowiseAI/Flowise.git cd Flowise # 检查项目结构 ls -la

Flowise项目采用monorepo结构，主要包含三个包：

packages/components- 可视化节点组件
packages/server- 后端API服务
packages/ui- 前端界面

3. 依赖漏洞扫描实战

3.1 使用npm audit进行基础扫描

npm内置的audit命令可以快速检查已知漏洞：

# 进入server目录（主要业务逻辑所在） cd packages/server # 安装依赖 pnpm install # 运行漏洞扫描 pnpm audit --audit-level moderate

扫描结果会显示发现的漏洞数量、严重级别和修复建议。例如可能看到这样的输出：

=== npm audit security report === 3 vulnerabilities found Severity: 2 Moderate | 1 High Package: axios Dependency of: flowise Path: flowise > axios More info: https://npmjs.com/advisories/1234

3.2 使用专业工具深度扫描

npm audit虽然方便，但覆盖范围有限。建议使用专业工具进行更全面的扫描：

# 使用snyk进行深度扫描（需要先安装snyk：npm install -g snyk） snyk test --dev # 使用OWASP Dependency-Check docker run --rm \ -v $(pwd):/app \ owasp/dependency-check:latest \ --scan /app \ --format HTML \ --out /app/reports

3.3 常见漏洞类型与处理

在Flowise的依赖中，可能遇到以下几类常见漏洞：

原型污染漏洞- 影响lodash等工具库
正则表达式拒绝服务- 影响某些解析库
代码注入漏洞- 影响模板引擎等
敏感信息泄露- 影响日志记录组件

处理建议：

优先修复高危和严重漏洞
中低危漏洞评估实际影响后再决定
关注官方安全公告和CVE数据库

4. SBOM生成与管理

4.1 使用syft生成SBOM

Syft是生成SBOM的专业工具，支持多种格式输出：

# 安装syft curl -sSfL https://raw.githubusercontent.com/anchore/syft/main/install.sh | sh -s -- -b /usr/local/bin # 为Flowise生成SBOM syft packages/server/ -o spdx-json > flowise-sbom.json # 也可以生成其他格式 syft packages/server/ -o cyclonedx-json > flowise-cdx.json syft packages/server/ -o table # 表格形式查看

4.2 SBOM内容解析

生成的SBOM包含以下关键信息：

{ "SPDXID": "SPDXRef-DOCUMENT", "name": "flowise-server-package", "packages": [ { "name": "express", "version": "4.18.2", "SPDXID": "SPDXRef-Package-express-4.18.2", "downloadLocation": "https://registry.npmjs.org/express/-/express-4.18.2.tgz", "licenseConcluded": "MIT" } // ... 更多依赖包信息 ] }

4.3 SBOM的持续维护

SBOM不是一次性的工作，需要持续维护：

# 将SBOM生成加入CI流程示例 #!/bin/bash # ci-sbom.sh # 生成新的SBOM syft packages/server/ -o spdx-json > sbom-new.json # 与旧版本对比 if [ -f sbom.json ]; then diff sbom.json sbom-new.json > sbom-diff.txt if [ $? -ne 0 ]; then echo "SBOM发生变化，需要审查" cat sbom-diff.txt # 发送通知邮件或消息 fi fi # 更新SBOM文件 mv sbom-new.json sbom.json

5. 安全加固实践建议

5.1 依赖管理最佳实践

// 在package.json中配置安全相关设置 { "scripts": { "preinstall": "npx npm-force-resolutions", "audit": "npm audit --audit-level moderate", "sbom": "syft . -o spdx-json > sbom.json" }, "resolutions": { "**/lodash": "^4.17.21", // 强制使用安全版本 "**/axios": "^1.4.0" } }

5.2 容器镜像安全扫描

如果使用Docker部署Flowise，还需要扫描容器镜像：

# 构建时扫描 docker build -t flowise:latest . docker scan flowise:latest # 使用trivy进行详细扫描 trivy image flowise:latest

5.3 运行时安全监控

即使依赖都安全，运行时也需要监控：

// 示例：添加安全相关的中间件 const helmet = require('helmet'); const rateLimit = require('express-rate-limit'); app.use(helmet()); app.use(rateLimit({ windowMs: 15 * 60 * 1000, // 15分钟 max: 100 // 限制每个IP每15分钟100次请求 }));

6. 自动化安全流水线

6.1 GitHub Actions自动化示例

# .github/workflows/security.yml name: Security Scan on: push: branches: [ main ] pull_request: branches: [ main ] schedule: - cron: '0 0 * * 1' # 每周一运行 jobs: security-scan: runs-on: ubuntu-latest steps: - uses: actions/checkout@v3 - name: Setup Node.js uses: actions/setup-node@v3 with: node-version: '18' - name: Install dependencies run: | cd packages/server npm install - name: Run npm audit run: | cd packages/server npm audit --audit-level moderate - name: Generate SBOM uses: anchore/sbom-action@v0 with: path: packages/server output-format: spdx-json - name: Upload SBOM artifact uses: actions/upload-artifact@v3 with: name: sbom path: packages/server/sbom.spdx.json