软件供应链与 SBOM
本文讲软件供应链安全与 SBOM 的工程化落地，回答如何生成与消费 SBOM、SLSA 等级怎么对照、制品如何签名验证、依赖混淆与投毒怎么防。覆盖 SPDX 与 CycloneDX 的字段差异、purl 与 VEX 的作用、Sigstore 无密钥签名、构建溯源与策略门禁，并给出可执行的分阶段落地路线。
tag
SBOM
共 13 篇文章。
开源许可证合规实战
本文讲开源许可证合规的工程化落地，回答如何自动生成清单、如何处理许可证变更、审计前要准备什么材料。覆盖 MIT、Apache 2.0、GPL、AGPL、MPL、BSL 等主流条款的义务差异，给出 SBOM 生成、依赖扫描、例外审批、归档存证的具体命令与配置，并总结合规流程与常见返工点。
GitHub Actions 供应链安全：SLSA 等级与构建证明
GitHub Actions 供应链安全实战：依赖投毒与构建环境劫持威胁模型、SLSA 1 到 4 级逐级解读、actions/attest-build-provenance 原生构建证明、cosign 签名与 verify-attestation、Syft 与 CycloneDX 生成 SBOM、dependency-review-action 依赖审查、第三方 action 固定到 commit SHA、GITHUB_TOKEN 最小权限与准入控制器验证
制品管理与供应链溯源：从仓库到 Provenance
制品管理与软件供应链溯源：镜像仓库与包仓库的选型、制品晋升与不可变标签、SBOM 软件物料清单的生成与消费、Sigstore 签名与 SLSA 来源溯源、供应链安全门禁，以及制品保留策略与端到端可追溯性审计。
CI/CD 流水线安全：供应链攻击防御与硬编码凭证治理
加固 CI/CD 流水线：攻击面与威胁模型、短时令牌与动态 Secret（OIDC/Vault）、Runner 隔离与最小权限、签名与 SBOM 门禁、Gitleaks 硬编码凭证治理、审计检测与事件响应、供应链防御纵深。
镜像安全扫描与 SBOM：Trivy、Grype、Clair 与 CI 安全门禁
系统讲解镜像安全扫描与软件物料清单（SBOM）：漏洞扫描原理与 CVE 数据库、Trivy/Grype/Clair 三大扫描器横向对比、CycloneDX/SPDX 两种 SBOM 格式与生成校验、漏洞修复策略（基镜像升级/重建/依赖升降级）、镜像重构与最小化、CI 中的安全门禁与阈值，以及 Harbor/ECR 的持续扫描与合规报告。
软件供应链安全：SBOM、签名与依赖漏洞治理
纵深防御软件供应链：SBOM 生成与审计（Syft/Grype/CycloneDX）、镜像与产物签名（cosign/Notary）、依赖策略与锁文件、SCA 扫描进流水线门禁、SLSA 与零信任发布、CVE 应急响应。
GitHub Actions 依赖安全：Dependabot、SBOM 与供应链防护
GitHub Actions 依赖安全：Dependabot 配置（版本更新/安全警报/自动 PR）、依赖图与 SBOM 生成、供应链安全（SLSA/Sigstore 签名）、私有仓库依赖扫描、 transitive 依赖漏洞追踪、CodeQL 安全分析集成、密钥扫描（secret scanning）、依赖锁定策略（lockfile）、漏洞修复工作流、第三方 Action 的安全审计
Kubernetes 镜像构建与安全：从 BuildKit 到供应链信任
系统讲解 Kubernetes 镜像工程化：Docker/BuildKit 高效构建、多阶段构建与镜像瘦身、镜像层与缓存、漏洞扫描（Trivy/Grype）、SBOM 生成、镜像签名（cosign/SLSA）、私有仓库与拉取策略、镜像生命周期，以及软件供应链安全（SLSA/供应链信任）的完整落地。
云原生安全左移：从镜像扫描到准入控制的全链路防线
深入讲解云原生安全左移（Shift-Left Security）的 DevOps 工程化：镜像扫描（Trivy/Grype）、IaC 扫描（tfsec/Checkov/OPA）、容器运行时安全（gVisor/Falco）、准入控制（Kyverno/Gatekeeper）、流水线安全门禁（质量阈值拦截）、SBOM 与依赖治理以及 CIS 安全基线。
密钥管理与供应链安全：从 Vault 到 SBOM 的零信任实践
深入讲解 DevOps 中的密钥管理与供应链安全：密钥注入方式对比（环境变量/Vault/Secrets Store CSI/云 KMS）、HashiCorp Vault 架构（KVv2/动态密钥/Policy）、密钥生命周期轮换与审计、GitOps 中密钥同步（SOPS+age/KMS）、供应链安全（SBOM/cosign 签名/镜像扫描）以及零信任密钥访问。
Docker 镜像供应链安全：SBOM、签名、扫描与 SLSA 合规
Docker 镜像供应链安全完整实践：镜像威胁模型与攻击面、漏洞扫描（Trivy/Snyk）与门禁、SBOM 生成与维护、镜像签名（Cosign/Notation）与验证、SLSA 供应链合规、多阶段与最小镜像、可信 Registry 与镜像准入。
软件供应链安全
软件供应链攻击防御全指南：SLSA 框架、SBOM 物料清单、Sigstore/Cosign 无密钥签名、依赖安全、容器镜像供应链，以及 SolarWinds 案例深度复盘。