首页/开发/系统分析与架构设计速查/依赖管理与供应链治理

依赖管理与供应链治理

依赖治理覆盖声明、锁定、更新与安全四个环节:锁文件固定解析结果,更新机器人按节奏提交变更,扫描与 SBOM 纳入流水线;传递依赖同样在治理范围内。

依赖更新分层示例(Renovate 风格配置)

依赖更新分层示例(Renovate 风格配置)
{
  "extends": ["config:recommended"],
  "packageRules": [
    { "matchUpdateTypes": ["patch"], "automerge": true },
    { "matchUpdateTypes": ["major"], "labels": ["breaking"] }
  ]
}
补丁版本自动合并、主版本人工评审是常见分层策略;前提是测试覆盖能兜住自动化变更。

易错点

  • 锁文件不入库,构建结果不可复现
  • 长期冻结依赖,安全欠账积累后被迫集中升级

数据来源与参考

  • OWASP Dependency-Check 项目文档
  • SLSA 供应链框架(OpenSSF)
  • 12factor.net:显式声明并隔离依赖
​‌‌​​‌​​​‌‌​‌‌‌‌​‌‌​​​‌‌​‌‌‌​​‌‌​​‌​‌‌‌​​‌‌‌​​​‌​‌‌​‌​​‌​‌‌‌​​​‌​‌‌​‌​​‌​‌‌​​​‌‌​‌‌‌​‌​​​‌‌​‌‌‌‌​​‌​‌‌‌​​‌‌​​​‌‌​‌‌​‌‌‌‌​‌‌​‌‌​‌