流水线设计54 条

软件供应链安全（SLSA 视角）

从源码、构建到分发逐段加固：来源可信、构建可证明、制品可签名、分发可校验——SLSA 框架把这些目标分级。

关注点	依赖来源、构建环境隔离、构建证明（provenance）、签名与校验
SLSA	面向供应链的分级框架，构建轨道分 L1-L3
落地起点	固定依赖版本、构建来源可追溯、制品签名后入库

最小动作清单

1. 依赖锁定 + 私有代理仓库（防依赖混淆）
2. 构建在受控环境执行，生成 provenance
3. 制品签名并记录校验信息
4. 部署侧只接受来自可信仓库且签名有效的制品

渐进式推进：先做到 L1 级别的构建过程可追溯，再谈隔离与证明。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌