tag
GitHub Actions 供应链安全实战：依赖投毒与构建环境劫持威胁模型、SLSA 1 到 4 级逐级解读、actions/attest-build-provenance 原生构建证明、cosign 签名与 verify-attestation、Syft 与 CycloneDX 生成 SBOM、dependency-review-action 依赖审查、第三方 action 固定到 commit SHA、GITHUB_TOKEN 最小权限与准入控制器验证
纵深防御软件供应链：SBOM 生成与审计（Syft/Grype/CycloneDX）、镜像与产物签名（cosign/Notary）、依赖策略与锁文件、SCA 扫描进流水线门禁、SLSA 与零信任发布、CVE 应急响应。
深入讲解镜像签名与供应链验证：镜像篡改与混淆攻击威胁模型、Sigstore 与 Cosign 的 keyless 签名机制（Fulcio/Rekor/OIDC）、OCI 1.1 签名与 Referrers 规范、签名验证策略、Kyverno/Connaisseur 准入控制、SBOM 与 SLSA provenance 联动，以及密钥管理、轮换与离线等生产落地问题。
系统讲解 Kubernetes 镜像工程化：Docker/BuildKit 高效构建、多阶段构建与镜像瘦身、镜像层与缓存、漏洞扫描（Trivy/Grype）、SBOM 生成、镜像签名（cosign/SLSA）、私有仓库与拉取策略、镜像生命周期，以及软件供应链安全（SLSA/供应链信任）的完整落地。
深入讲解 DevOps 中的密钥管理与供应链安全：密钥注入方式对比（环境变量/Vault/Secrets Store CSI/云 KMS）、HashiCorp Vault 架构（KVv2/动态密钥/Policy）、密钥生命周期轮换与审计、GitOps 中密钥同步（SOPS+age/KMS）、供应链安全（SBOM/cosign 签名/镜像扫描）以及零信任密钥访问。
Docker 镜像供应链安全完整实践：镜像威胁模型与攻击面、漏洞扫描（Trivy/Snyk）与门禁、SBOM 生成与维护、镜像签名（Cosign/Notation）与验证、SLSA 供应链合规、多阶段与最小镜像、可信 Registry 与镜像准入。
软件供应链攻击防御全指南：SLSA 框架、SBOM 物料清单、Sigstore/Cosign 无密钥签名、依赖安全、容器镜像供应链，以及 SolarWinds 案例深度复盘。