供應鏈安全現狀
現代應用90%代碼來自開源。Log4j事件（2021）影響全球數百萬系統，是史上最嚴重的供應鏈攻擊。SolarWinds事件影響美國政府機構。
常見風險
依賴混淆：攻擊者發布同名包到公共倉庫。投毒包：維護者賬號被黑，植入惡意代碼。未維護依賴： abandoned包不再更新，漏洞無人修復。
防護工具
SCA軟件成分分析：Snyk、Dependabot、OWASP Dependency-Check。SBOM軟件物料清單：CycloneDX、SPDX格式，列出所有依賴。
最佳實踐
最小依賴原則、鎖定版本、定期審計依賴、使用私有倉庫、鎖定哈希、監控安全公告。
聲明：本站文章均來源於原創、轉載、AI生成等渠道，如有版權及其他問題，請點擊反饋，我公司會盡快查實並處理。