现代应用七八成的代码来自第三方依赖，供应链攻击因此成为性价比最高的攻击路径。

第一层：锁定

lockfile 提交进仓库，CI 使用冻结模式安装；对关键依赖开启版本固定与签名校验。

第二层：扫描

CI 里接入漏洞数据库扫描与许可证检查，阻断策略只对高危且可利用的告警生效，避免告警疲劳。

第三层：最小权限

构建环境用短期凭证、发布产物做来源签名。就算依赖被投毒，攻击者也拿不到发布通道的钥匙。