标签: #sbom
关于 GPU、LLM、MLOps、Kubernetes 以及心态的文章 · 1 篇
依赖供应链安全 — 锁文件挡不住的那些东西
你在 package.json 里亲手写下的包只有十几个，实际装进来的却超过一千个。本文解释传递依赖为什么比直接依赖更危险，并用真实的锁文件条目说明整合性哈希为什么只保证可复现性，对恶意代码则毫无作用。文章会讲清 typosquatting 与 dependency confusion 成立的条件，以及如何用作用域固定和索引优先级配置把它们挡掉，还有 postinstall 脚本实质上就是任意代码执行点这件事和阻断办法。然后，从 SBO
2026-07-26 · 19 分钟阅读 #security#supply-chain#npm#sbom#ci