供应链安全现状
现代应用90%代码来自开源。Log4j事件（2021）影响全球数百万系统，是史上最严重的供应链攻击。SolarWinds事件影响美国政府机构。
常见风险
依赖混淆：攻击者发布同名包到公共仓库。投毒包：维护者账号被黑，植入恶意代码。未维护依赖： abandoned包不再更新，漏洞无人修复。
防护工具
SCA软件成分分析：Snyk、Dependabot、OWASP Dependency-Check。SBOM软件物料清单：CycloneDX、SPDX格式，列出所有依赖。
最佳实践
最小依赖原则、锁定版本、定期审计依赖、使用私有仓库、锁定哈希、监控安全公告。
声明：本站文章均来源于原创、转载、AI生成等渠道，如有版权及其他问题，请点击反馈，我公司会尽快查实并处理。