供应链安全（Supply Chain Security）

适用场景

• 依赖漏洞扫描（npm / pip / Maven）
• 容器镜像安全扫描
• CI/CD 流水线安全
• SBOM（软件物料清单）
• 恶意包检测

核心原则

1. 依赖 = 攻击面
   每个依赖都可能有漏洞

2. 锁定版本
   lockfile 必须提交