Supply Chain Security
供应链安全保护软件供应链（依赖/构建/分发）免受注入攻击，用签名/锁文件/SBOM/可重现构建。
用途
防止恶意依赖与构建产物注入，保障软件来源可信。
机制
锁文件固定依赖版本。依赖审计（npm audit/Trivy）检测漏洞。签名镜像（Cosign）验证来源。SBOM 列全部依赖。可重现构建验证构建可信。SLSA 框架分级。
用例
- 依赖安全
- 镜像签名
- SBOM 软件物料清单
供应链安全保护软件供应链（依赖/构建/分发）免受注入攻击，用签名/锁文件/SBOM/可重现构建。
防止恶意依赖与构建产物注入，保障软件来源可信。
锁文件固定依赖版本。依赖审计（npm audit/Trivy）检测漏洞。签名镜像（Cosign）验证来源。SBOM 列全部依赖。可重现构建验证构建可信。SLSA 框架分级。