拉取策略供应链治理（2025）
SLSA/SBOM 与镜像签名/拉取策略供应链治理（2025）一、标准与产物SLSA：定义构建级别与来源证明；保证产物可信。SBOM：生成组件清单与许可证；用于审计与漏洞扫描（SBOM）。二、签名与验证镜像签名：使用 `Cosign` 对镜像进行签名与验签（镜像签名）。拉取策略：在集群/仓库设置仅允
供应链
Sigstore/Cosign镜像签名与验证实践
使用Cosign对容器镜像进行签名与验证，提供可验证的命令与策略要点，提升供应链安全与可追溯性。
Sigstore/Cosign镜像签名与供应链安全实践
使用 Sigstore/Cosign 为容器镜像进行签名与验证，结合 Rekor 透明日志与 Admission Policy，构建可验证的供应链安全体系。
Secret Scanning 与供应链合规治理（2025）
Secret Scanning 与供应链合规治理（2025）一、扫描与规则Secret Scanning：对版本库与产物进行密钥扫描。规则：正则/指纹/上下文匹配，降低误报。二、准入与阻断准入策略：在 CI/CD 与部署阶段阻断高风险。SBOM：生成组件清单，用于漏洞治理与合规审计。三、审计与修复审
SBOM生成与漏洞扫描实践（Syft/Grype）
使用Syft生成SBOM并用Grype进行漏洞扫描，提供可验证的命令与CI集成示例，提升供应链透明度与安全。
OCI容器镜像供应链治理（SBOM-签名-拉取策略）最佳实践
通过镜像签名与 SBOM 绑定、拉取策略与来源白名单，保障镜像供应链的可追溯与完整性。
in-toto供应链证明与链路验证治理（Layout-Link-阈值）最佳实践
通过校验 in-toto 布局与 link 元数据、阈值签名与材料清单一致性，确保供应链各步骤的可验证与可追溯。
Go模块供应链治理（sumdb-校验-代理）最佳实践
通过 sumdb 校验与代理白名单、哈希一致性检测，治理 Go 模块来源与完整性，降低供应链风险。
CD 安全与供应链治理（2025）
GitHub Actions CI/CD 安全与供应链治理（2025）CI/CD 是供应链关键环节，需在身份、权限与工件上实施治理。一、身份与权限OIDC 联邦：以 OIDC 对接云平台临时凭证，避免长期密钥。最小权限：按作业与环境最小化权限范围与时长。二、工件与签名SBOM：生成组件清单与漏洞治理
CI/CD供应链安全：SBOM、Sigstore与SLSA落地
在交付流水线中引入 SBOM、签名与溯源，基于 Sigstore 与 SLSA 框架构建可验证的供应链安全体系。
