Coverity 代碼審計揭示：MySQL 缺陷密度遠優於商業資料庫

研究背景

2004 年，靜態分析工具廠商 Coverity 對 MySQL 源碼進行深度掃描，並與商業軟體基準對比。報告顯示：MySQL 僅發現 97 個缺陷，其中至少 1 個屬嚴重安全問題；缺陷密度為 **每 4,000 行代碼 1 個缺陷**，遠優於行業平均水平 (每 1,000 行 1-7 個)。

核心數據對比

專家解讀

• Coverity CEO Seth Hallem：「按行業標準，MySQL 表現優異。」
• MySQL 行銷副總 Zack Urlocker：已修復所有發現缺陷，持續委託第三方審計。
• 對比參考：Linux Kernel 2.6 (570 萬行) 同工具檢出 985 缺陷，密度約 1/5786 行，同屬優等生。

工具局限性提醒

靜態分析僅能發現特定模式缺陷 (緩衝區溢出、空指針解引用、資源洩漏等)，無法覆蓋：

• 業務邏輯漏洞 (權限繞過、競態條件)
• 架構設計缺陷
• 運行時環境相關問題
• 零日漏洞與未知攻擊面

因此，**代碼審計 ≠ 安全保證**，需結合滲透測試、模糊測試、運行時保護 (RASP/WAF) 等多層防禦。

啟示與建議

1. 開源項目因代碼透明，易於社區與工具審計，長期質量往往更可控
2. 商業軟體不公開源碼，外部無法驗證真實缺陷密度
3. 企業選型時，應要求廠商提供第三方審計報告，而非僅信任營銷宣傳
4. 持續集成管道中強制接入 SAST/DAST/SCA 工具，建立「左移」質量體系

結語

MySQL 在 2004 年的審計成績，印證了「擁抱開源、持續審計、快速修復」的工程文化價值。對於現代雲原生架構，選擇擁有活躍社區、透明安全響應流程的開源組件，往往比封閉商業軟體更具長期安全紅利。