依赖漏洞 on PlumePHPhttps://plumephp.com/tags/%E4%BE%9D%E8%B5%96%E6%BC%8F%E6%B4%9E/Recent content in 依赖漏洞 on PlumePHPHugozh-CNWed, 30 Sep 2026 11:00:00 +0800软件供应链安全：SBOM、签名与依赖漏洞治理https://plumephp.com/devops-supply-chain-security/Wed, 30 Sep 2026 11:00:00 +0800https://plumephp.com/devops-supply-chain-security/<p>&ldquo;生产环境的组件，一半不是你写的&rdquo;——这就是软件供应链安全的现实。一次上游投毒、一次依赖劫持，能让整个组织的基础设施瞬间失守。本文按防御链展开：SBOM 生成（Syft/CycloneDX）→ 漏洞审计（Grype/osv-scanner）→ 产物签名（cosign）→ 依赖与锁文件治理 → SCA 进流水线门禁 → SLSA 零信任发布 → CVE 应急响应，每步都给出现成命令与配置。</p>