供应链安全
供应链安全是指对产品或服务在生产、交付全流程中涉及的各环节、参与方及依赖组件进行风险识别与管控的综合性实践。在软件领域，主要涵盖对第三方代码、开源依赖、构建工具及发布渠道的安全审查；在实体供应链领域，则涉及原材料来源、物流节点及供应商的可信度评估。其核心目标是防范因外部引入的恶意代码、篡改或漏洞导致的系统性风险。
核心事实
时间轴 (近 90 天)
供应链安全指的是对软件依赖、构建流程和第三方服务全链路的信任管理。
每增加一个供应商，就多一组需要管理的凭证，也多一个可能被攻破的节点。
在供应链场景下，供应商的凭证一旦泄露，攻击者便可横向访问其集成的多个客户数据。
将SOC 2视为供应链安全的充分条件，是合规认证在供应链场景下失效的根源。
对于通过 npm 引入的 SDK，常见供应链安全风险包括包被劫持后发布恶意版本、资产文件被替换、依赖树引入不安全传递依赖；校验资产完整性、锁定版本并配合 lockfile 可降低风险
成熟工具会采用离线签名、多签、透明日志（如 Sigstore）以及可回滚的版本锁定机制，以降低自我更新带来的供应链风险。
部分安全研究者建议对于关键业务场景应对下载的权重进行消毒（sanitization）实验或行为审计，而非仅依赖来源方的声誉背书
通过 GPG 密钥对发布包进行签名，可以让使用者验证该版本确实由合法构建流程产出，从而降低依赖投毒攻击风险
应对供应链硬件威胁应建立可信供应商体系，对关键组件实施来源追溯
高权限（root）环境下运行未知代码存在安全风险，需谨慎操作
还有 1 条时间轴事件
全部知识事实 (11)
GPG签名是一种基于非对称加密的数字签名机制，在GitHub的发布流程中，维护者使用私钥对发布产物进行签名，用户可以通过公钥验证签名的有效性
90%待验证供应链安全指的是对软件依赖、构建流程和第三方服务全链路的信任管理。
50%待验证在供应链场景下，供应商的凭证一旦泄露，攻击者便可横向访问其集成的多个客户数据。
50%待验证每增加一个供应商，就多一组需要管理的凭证，也多一个可能被攻破的节点。
50%待验证将SOC 2视为供应链安全的充分条件，是合规认证在供应链场景下失效的根源。
50%待验证对于通过 npm 引入的 SDK，常见供应链安全风险包括包被劫持后发布恶意版本、资产文件被替换、依赖树引入不安全传递依赖；校验资产完整性、锁定版本并配合 lockfile 可降低风险
50%待验证成熟工具会采用离线签名、多签、透明日志（如 Sigstore）以及可回滚的版本锁定机制，以降低自我更新带来的供应链风险。
50%待验证部分安全研究者建议对于关键业务场景应对下载的权重进行消毒（sanitization）实验或行为审计，而非仅依赖来源方的声誉背书
50%待验证通过 GPG 密钥对发布包进行签名，可以让使用者验证该版本确实由合法构建流程产出，从而降低依赖投毒攻击风险
50%待验证应对供应链硬件威胁应建立可信供应商体系，对关键组件实施来源追溯
50%待验证高权限（root）环境下运行未知代码存在安全风险，需谨慎操作
50%