软件供应链安全怎么做？从SBOM到制品签名的治理闭环

软件供应链安全怎么做，如果还把重点只放在“代码有没有漏洞”，通常会低估真正的风险面。企业今天面临的问题早已不只是源代码，而是依赖包从哪来、镜像是不是可信、构建过程有没有被篡改、上线的制品和审计记录是否能追溯。因此，真正有效的软件供应链安全，不是单点扫描，而是把 SBOM、制品签名、来源校验、发布准入和运行时审计连成一条完整链路。

本文适用范围

这篇文章更适合以下场景：

• 已经有 CI/CD 和镜像仓库，但缺少供应链治理视角
• 安全团队希望把漏洞治理扩展到制品可信与来源可信
• 平台团队正在建设发布准入、镜像签名或软件物料清单能力
• 企业需要提升软件交付的可审计性和可追溯性

如果你现在最关心的是“某个漏洞怎么修”，那是更局部的问题；本文讨论的是交付链路级的供应链安全。

为什么软件供应链安全在企业里越来越重要

原因很现实：今天的软件交付已经不再是“开发写完代码就结束”，而是一条跨越多个系统的链路：

• 源代码仓库
• 第三方依赖源
• 构建环境
• 制品仓库
• 镜像仓库
• 发布流水线
• Kubernetes 或其它运行环境

只要这条链上的任一环节缺乏可信校验，最终上线的内容就可能与团队以为的“已审核版本”并不一致。

所以供应链安全的本质，不是多做几次扫描，而是回答三个问题：

1. 你上线的到底是什么。
2. 它是从哪里来的。
3. 你能不能证明它没有被中途替换或篡改。

先看清软件供应链最常见的风险来源

1. 第三方依赖来源不透明

很多企业的应用严重依赖开源库、基础镜像和工具链，但对这些内容的来源、版本和历史变更缺少持续追踪。

2. 构建过程不可验证

如果构建节点、构建脚本或中间产物缺少保护，团队就很难确认最终制品是否来自预期代码和预期流程。

3. 制品仓库只存文件，不存信任关系

很多组织已经有镜像仓库或制品库，但仓库只负责存储和分发，并没有对制品可信性做持续判断。

4. 发布环节缺少准入控制

即使前面做了扫描和签名，如果上线时没有校验机制，不可信制品仍可能被部署到生产环境。

SBOM 为什么会变成供应链安全的重要基础

SBOM 的核心价值，不是“生成一个清单”这么简单，而是让企业第一次能够系统地回答：

• 当前应用包含哪些组件
• 每个组件来自哪里
• 依赖链里有没有高风险版本
• 某个漏洞事件发生时，哪些系统受影响

换句话说，SBOM 提供的是软件组成的可见性。没有这层可见性，后面的签名、准入和审计都会缺少基础数据。

但要注意，SBOM 本身并不会自动让系统变安全。它更像是供应链治理的底图，后续还需要和漏洞管理、制品签名、发布控制一起使用。

从 SBOM 到制品签名，企业最值得补齐哪些能力

一、来源可追溯

要能说明某个制品对应哪个代码版本、哪个构建任务、哪个依赖快照和哪个提交记录。

二、制品可验证

这通常包括：

• 镜像签名
• 制品摘要校验
• 构建元数据留存
• 发布前签名验证

三、发布可准入

即使制品已经存在仓库，也不意味着它应该被允许上线。成熟的准入策略通常会校验：

四、运行后可审计

供应链安全不只看发布前。运行阶段仍需要知道：

• 当前运行的是哪个制品版本
• 是否与准入时记录一致
• 是否出现镜像或配置漂移
• 某次漏洞通告会影响哪些正在运行的服务

一个更务实的落地顺序

第一步：先把软件物料可见性做起来

比起一开始就全面上签名体系，很多企业更适合先建立：

• 依赖清单管理
• SBOM 生成与归档
• 基础镜像来源收敛
• 构建产物与代码版本映射

第二步：再做制品签名与发布校验

当企业已经能比较清楚地知道“产物是什么”之后，再推进“产物能否被证明可信”会更顺畅。

第三步：把准入控制嵌入平台默认流程

如果每次都靠人工判断供应链风险，平台很难规模化。更有效的做法是把签名校验、来源校验和高风险阻断放进发布准入或 Kubernetes 策略里。

第四步：打通审计与事件响应链路

当新的漏洞事件出现时，企业应该能快速回答：

• 哪些制品受影响
• 哪些服务正在运行这些制品
• 哪些集群需要优先处置
• 是否已有替代版本可回滚或升级

最容易出现的几个误区

误区一：把供应链安全等同于漏洞扫描

漏洞扫描很重要，但它只能覆盖一部分风险。来源可信、构建可信和发布可信同样关键。

误区二：只生成 SBOM，不把它接入治理流程

如果 SBOM 只是存档而不进入发布、审计和事件响应流程，它的价值会很有限。

误区三：签了名就等于安全

签名证明的是“这个制品来自某个受信过程”，不代表它本身没有漏洞或配置风险。签名和安全扫描是互补关系。

误区四：供应链安全完全交给安全团队

如果平台团队和研发团队不参与，很多能力就无法真正进入日常交付流程，最后又会回到上线前人工兜底。

结语

软件供应链安全怎么做，真正的关键不是再加一道独立检查，而是把 SBOM、制品签名、来源可信、发布准入和运行时审计串成闭环。对企业来说，这样的体系既能提升软件交付可信度，也能让安全事件发生时更快定位影响范围和处理优先级。只有当供应链安全进入平台默认路径，它才会从概念变成可执行能力。

FAQ

SBOM 一定要先做吗？

通常建议尽早做，因为它提供了软件组成和依赖关系的基础可见性。没有这层底图，后续很多供应链治理动作都会缺少依据。但 SBOM 不是终点，更重要的是把它接入漏洞治理、发布准入和审计流程。

制品签名是不是只适合大厂？

不一定。只要企业已经开始依赖镜像仓库、CI/CD 和容器化发布，制品签名就会逐渐变得有价值。规模越大，它的价值越明显；但即便中等规模团队，也可以从关键业务和核心镜像开始推进。

为什么说供应链安全要和平台工程一起做？

因为很多能力最终都需要嵌入构建、仓库、准入和发布流程里，这些恰恰是平台工程最擅长承接的部分。如果没有平台化接入，安全要求很容易停留在纸面上，难以稳定执行。