第三方依赖与供应链安全

核心认识

第三方包、脚本、CI Action 和 CDN 资源都可能成为供应链入口。应锁定版本、审查来源、限制安装脚本、扫描漏洞，并用完整性校验和最小权限降低风险。

学习重点

• 理解攻击成立所需的信任边界、数据流和浏览器安全机制
• 优先采用安全默认值、输出编码和最小权限，而非依赖黑名单
• 把前端防护与服务端校验、监控和应急响应组合起来

实践检查

• 能用自己的话解释“第三方依赖与供应链安全”
• 能在最小项目中完成一次与“第三方依赖与供应链安全”相关的验证
• 能记录常见问题、取舍依据和排查方法