为适应快速的版本发布周期,软件开发商大多遵循持续集成和持续交付的开发模式,且越来越依赖开源库来快速完成开发任务。然而,由于大多数开发人员缺乏安全专业知识,大量的安全漏洞没有被正确地识别,或者没有公开披露。这些未识别的漏洞让开发商的产品陷入被恶意攻击的风险中。因此,迫切需要一个高效的漏洞自动化识别系统,来识别开源库中未知的漏洞并确保安全的软件开发过程。各大软件开发商大多借助缺陷追踪系统完善其软件开发过程,通过审核缺陷追踪系统中的缺陷报告可以高效地检测漏洞。然而,现有的面向缺陷追踪系统的漏洞识别方案大多只考虑了缺陷报告的单一特性,导致其漏报和误报严重。基于多特征分析的漏洞自动化识别方案SBRer(Security Bug Report Identifier)有效地解决了上述问题。SBRer提取了缺陷报告中多种有效信息,包括预定义非文本字段(元特征),缺陷报告的文本内容(文本特征)和缺陷补丁文件的代码属性(代码特征)。基于这些特征,SBRer通过自然语言处理技术和机器学习算法构建了一个自动化识别漏洞的模型。此外,SBRer还充分考虑了数据的不平衡现象,提高了漏洞识别精度。实验结果表明,SBRer在识别漏洞时精确率和召回率分别达到了99.4%和79.9%。与现有的自动化识别方案相比,SBRer在保持高精确率的同时,将召回率提高了22.9%~175.5%。