zhaoxuya520 供应链安全（Supply Chain Security）
适用场景
- 依赖漏洞扫描（npm / pip / Maven）
- 容器镜像安全扫描
- CI/CD 流水线安全
- SBOM（软件物料清单）
- 恶意包检测
核心原则
1. 依赖 = 攻击面
每个依赖都可能有漏洞
2. 锁定版本
lockfile 必须提交
3. 定期扫描
不是一次性，是持续的
4. 最小依赖
不需要的不装
5. 镜像也要扫
基础镜像可能有漏洞
工具
| 工具 | 用途 |
|---|---|
| Snyk | 依赖 + 容器 + 代码 |
| Dependabot | GitHub 自动 PR |
| Trivy | 容器 + 文件系统 |
| npm audit | npm 依赖 |
| pip-audit | Python 依赖 |
| OWASP Dependency-Check | Java |
| Grype | 容器扫描 |
| Syft | SBOM 生成 |
| cosign | 镜像签名 |
CI 集成
# GitHub Actions
- name: Trivy scan
uses: aquasecurity/trivy-action@master
with:
image-ref: 'my-app:${{ github.sha }}'
severity: 'CRITICAL,HIGH'
exit-code: '1'
配套模板
templates/dependency-audit-template.md— 依赖审计报告
质量自检
□ CI 集成依赖扫描
□ CI 集成镜像扫描
□ 高危漏洞阻塞合并
□ lockfile 提交
□ 定期更新依赖
□ SBOM 生成
□ 新依赖评估流程
常见坑
- 不扫描——已知漏洞进生产
- 不锁版本——构建不可复现
- 不更新——漏洞累积
- 只扫不修——扫描结果无人看
- typosquatting——安装错误包名
与其他 skill 的协作
上游：
devops-engineer ci-cd-pipeline → CI 集成
下游：
security-report → 扫描结果纳入报告
backend/frontend → 修复