Software supply chain
Фиксируйте воспроизводимый набор зависимостей и обновляйте его с проверками.
Проверено Изменено
Плохо
Сборка каждый раз устанавливает произвольный latest.
Хорошо
Lockfile + зафиксированный runtime.
Обновления проходят проверку уязвимостей и тесты.
Почему это важно
Один исходный коммит должен позволять объяснить, что вошло в сборку.
Когда применять
SBOM и provenance зависят от зрелости выпуска. Наличие файла не доказывает соответствие уровню SLSA.
Кто что делает
Человек
Выбирает доверенные источники и допустимый риск обновления.
AI-агент
Реализует серверные ограничения и проверяет запрещённый запрос наряду с разрешённым.
Контроль результата:
- В чистой среде устанавливаются те же зависимости?
Как проверить у себя
- В чистой среде устанавливаются те же зависимости?
Первоисточники
История изменений на GitHubДата проверки отражает содержательную сверку. Синхронизация сайта не обновляет её автоматически.