近日开源安全公司WhiteSource针对编程语言的安全性做了一份报告，这份报告提出了一个新问题——“哪种编程语言最安全？”
编程语言之争，是开发者社区一直以来的热议问题，不过讨论的过程往往伴随着双方的愤怒及和谐的破损，不了了之。许多开发者喜欢证明他们使用的编程语言占主导地位，这个过程中经常提到的就有安全性。
近日WhiteSource就七种热门编程语言的安全性做了年岸度报告。该报告汇总了多个来源的开源漏洞信息，如国家漏洞数据库（NVD）、安全公告、GitHub问题追踪器（IssueTracker）和流行开源项目问题追踪器。
WhiteSource根据开源社区过去几年使用的一些流行语言，确认了七种比较热门的编程语言：C，Java，JavaScript，Python，Ruby，PHP和C++。
在这些编程语言的基础上，WhiteSource搜索了数据库，查看了过去十年中每种语言中已知开源安全漏洞的数量、随时间推移这些安全漏洞发生的变化、以及各语言最常见的CWE（CommonWeaknessEnumeration，通用缺陷列表）。
报告显示了过去10年中不同语言的开源漏洞总数，很明显居于首位的编程语言是C语言，占到了近一半的比例。
不过这不能说明C语言的安全性远低于其他热门语言。如此高的占比有几个因素可以解释：
一是C语言的使用时间在调查语言中是最长的；二是C语言一般编写的代码量很大；三是OpenSSL和Linux内核等基础架构背后的主要语言之一就是C语言。这些存在时间、体积和中心性等因素的组合，可以解释C语言为什么存在这么多大量已知开源安全漏洞。
报告也显示了随着时间推移不同编程语言的开源安全漏洞数量变化。
过去的十年中，它们各有自己的高点和低点，但是所有语言都由一个突出的趋势，就是近两年所有语言的已知安全漏洞数量都大幅增加。这可以看作是安全漏洞意识的提高及开源的更加普及。随着开源安全研究投入资源的增加，人们发现的安全问题数量也会变多。
这些漏洞的严重程度如何呢？调查人员研究高严重性的开源安全漏洞（CVSSv2得分高于7）时，发现除了JavaScript和PHP，报告中涉及的大多数语言严重漏洞的占比处于下降趋势。
这可能是安全研究人员使用自动化工具的结果。虽然借助这些工具，过去几年大多数语言的中等漏洞数量一直在增加，但这些工具通常不能发现复杂和严重的安全问题。
调查人员还研究了每种语言常见的CWE。这其中，跨站脚本攻击（XSS，也被称为CWE-79）和输入验证（也被称为CWE-20）占据了最常见的位置。另外较为突出的CWE有信息泄漏（CWE-），路径遍历（CWE-22），权限及访问控制（CWE-）、不正当访问控制（CWE-）等。
“我的编程语言比你更安全”，类似的话题可以是一种有趣的消磨时间方式。关于哪种编程语言最安全的讨论往往也会出现一些有趣的观点，而找到最终答案反而可能无法帮助你创造兼具创新性和安全性的软件。
如今，大多数软件开发都依赖多种编程语言来实现，而不是执着于某一编程语言。掌握已知的开源漏洞、了解团队正在使用的编程语言中的优点和缺点，这些都是确保软件项目从一开始就具有安全性的好方法。
最安全的编程语言没有最终赢家。WhiteSource从研究中得出的最后一个结论是，编程语言的安全性无关于语言本身，而是取决于使用者的使用方式。开发团队使用了适当的管理方法，减轻整个SDLC（系统生存周期）的漏洞，这才是保证项目安全的好选择。
本文经授权转自开源中国（ID：oschina），作者段段段落。
热文推荐
Python爬取条《都挺好》弹幕数据，发现弹幕比剧还精彩？
王兴：马云有诚信问题；雷*：小米只挣一点点钱；京东回应“一天离职人”
极客头条
星球大战期间，程序员的变迁！
14岁编程神童？假的！
NLP泰斗董振东老师与他的知网
纪念
现实！程序员只有跳槽才能涨薪吗？
“V神给了我个ETH,我用来招了两个程序员”独立开发者做到极限就是PaulHauner
人物志
System.out.println(点个在看吧！);console.log(点个在看吧！);print(点个在看吧！);printf(点个在看吧！\n);cout点个在看吧！endl;Console.WriteLine(点个在看吧！);Response.Write(点个在看吧！);alert(点个在看吧！)echo点个在好看吧！