软件供应链与 SBOM
本文讲软件供应链安全与 SBOM 的工程化落地，回答如何生成与消费 SBOM、SLSA 等级怎么对照、制品如何签名验证、依赖混淆与投毒怎么防。覆盖 SPDX 与 CycloneDX 的字段差异、purl 与 VEX 的作用、Sigstore 无密钥签名、构建溯源与策略门禁，并给出可执行的分阶段落地路线。
tag
依赖
共 4 篇文章。
许可证兼容性与依赖传染分析
本文讲许可证兼容性与依赖传染分析，回答 GPL 与 Apache 2.0 能否混用、AGPL 是否会波及 SaaS、静态链接与动态链接有何区别。覆盖兼容性矩阵、传染边界判定、双许可与例外条款、独立进程与插件架构的隔离手法，给出依赖图分析命令与替换策略，并总结法律与工程协同的判定流程。
Godot Autoload 启动顺序：服务初始化、依赖和首屏耗时
Autoload 越多，启动越需要秩序 Godot 的 Autoload 很方便，音频、存档、配置、网络、输入、场景路由都可以注册成全局服务。项目初期加一个服务不痛不痒，到了十几个 Autoload 后，启动顺序就会变成问题：配置服务还没加载，任务服务已经读配置；存档服务失败，UI 仍然进入主菜单；网络服务在启动...
Go 依赖管理入门：go mod、版本号、replace 和 tidy 怎么用
本文详解 Go Modules 的依赖管理方法，涵盖 go.mod/go.sum 维护、版本选择、replace 调试和 v2+ 模块路径规则，附带团队协作和常见排错指南。