依赖安全与供应链风险

风险贯穿整个依赖生命周期

已知漏洞只是供应链风险的一部分。攻击者还可能利用拼写相似包、依赖混淆、维护者账号失陷、恶意安装脚本、被篡改的 CI Action、锁文件冲突或发布令牌泄露。

“扫描结果为零”不能证明安全。治理目标是减少依赖面、控制代码来源、让变更可审查、让构建可追溯，并在风险出现时能够快速定位消费者和升级。

至少检查：

下载量和星标只能作为线索，不能代替源码与发布来源验证。

锁文件能固定解析结果，但无法判断被固定的代码是否可信，也不能阻止拥有发布权限的维护者发布恶意新版本。

软件物料清单（SBOM）记录制品实际包含的组件和版本，使团队能在漏洞披露后快速查询影响范围。来源证明和签名用于说明制品由哪套受控流程从什么源码构建。

这些元数据只有与最终不可变制品关联并能够验证时才有价值；从 package.json 临时生成一张清单，不一定代表生产产物真正包含的内容。

自动升级按风险和生态分组，限制同时打开的 Pull Request，并执行类型、测试、构建和产物差异检查。高危漏洞需要明确响应时限；无法立即升级时，记录可利用条件、缓解措施和到期时间。