Версия источника: 4880e8b4372c96001c2e052be28b68a95d31252b
Синхронизировано: 2026-11-09T11:15:07.649Z
Источник: https://github.com/sergey-from-riders/vibecoding-base/tree/4880e8b4372c96001c2e052be28b68a95d31252b

<a id="security-supply-chain"></a>

# Software supply chain

## Коротко

Фиксируйте воспроизводимый набор зависимостей и обновляйте его с проверками.

## Плохо

```text
Сборка каждый раз устанавливает произвольный latest.
```

## Хорошо

```text
Lockfile + зафиксированный runtime.
Обновления проходят проверку уязвимостей и тесты.
```

## Почему

Один исходный коммит должен позволять объяснить, что вошло в сборку.

## Когда применять

SBOM и provenance зависят от зрелости выпуска. Наличие файла не доказывает соответствие уровню SLSA.

## Как проверить

- В чистой среде устанавливаются те же зависимости?

## Человек

Выбирает доверенные источники и допустимый риск обновления.

## Агент

Реализует серверные ограничения и проверяет запрещённый запрос наряду с разрешённым.

Контроль результата:

- В чистой среде устанавливаются те же зависимости?

## Источники

- [SLSA • SLSA specification](https://slsa.dev/spec/v1.2/)

Уровень: Рекомендуется. Проверено: 2026-11-09. Изменено: 2026-11-09.

[Исходный файл](https://github.com/sergey-from-riders/vibecoding-base/blob/4880e8b4372c96001c2e052be28b68a95d31252b/registry/standards/security/no-secrets/rules/supply-chain.md)