https://plumephp.com/tags/codeql/Recent content in CodeQL on PlumePHPHugozh-CNWed, 30 Sep 2026 10:00:00 +0800https://plumephp.com/github-actions-dependabot-dependency-security/Wed, 30 Sep 2026 10:00:00 +0800https://plumephp.com/github-actions-dependabot-dependency-security/<blockquote> <p>软件供应链攻击是 2020 年代最严峻的安全威胁之一——从 npm 包被植入恶意代码到 GitHub Action 被篡改，一条依赖链上的薄弱环节可能让整个组织暴露。GitHub 提供了一整套工具来防护依赖安全：Dependabot 自动监控漏洞、SBOM 追踪依赖全景、CodeQL 深度代码分析、密钥扫描防止泄露。本文从配置到集成，构建完整的依赖安全防线。</p>