供应链安全 on PlumePHPhttps://plumephp.com/tags/%E4%BE%9B%E5%BA%94%E9%93%BE%E5%AE%89%E5%85%A8/Recent content in 供应链安全 on PlumePHPHugozh-CNSun, 27 Sep 2026 10:00:00 +0800密钥管理与供应链安全：从 Vault 到 SBOM 的零信任实践https://plumephp.com/devops-secrets-management/Sun, 27 Sep 2026 10:00:00 +0800https://plumephp.com/devops-secrets-management/<p>密钥是云原生世界里最容易&quot;随手硬编码、泄露了才想起来&quot;的东西——<strong>DB 密码、API Key、TLS 私钥，任何一个泄露都可能让整个系统裸奔</strong>。而供应链安全进一步放大风险：你依赖的镜像、依赖库、二进制签名，任何一环被污染，密钥管理得再好也无济于事。本指南把&quot;密钥怎么管&quot;与&quot;东西怎么验&quot;连成一条完整的零信任链路：密钥注入（环境变量/Vault/CSI/KMS 对比）、Vault 架构与动态密钥、密钥生命周期、GitOps 中的 SOPS 同步，再到 SBOM、cosign 签名与镜像扫描的供应链防线。</p>工作流安全加固与供应链防御https://plumephp.com/github-actions-security-hardening/Sat, 26 Sep 2026 10:00:00 +0800https://plumephp.com/github-actions-security-hardening/<blockquote> <p>CI/CD 管道已成为供应链攻击的第一目标：攻击者通过投毒第三方 Action、利用 fork PR 的宽松上下文、或操纵 issue 标题触发注入，最终窃取 Secrets 或篡改产物。本文聚焦工作流自身的加固：从 <code>GITHUB_TOKEN</code> 的细粒度权限、第三方 Action 的 SHA 固定与审计，到注入防御、SLSA/Sigstore 供应链证明，以及 Runner 隔离策略，构建纵深防御。</p>