交付链路中的风险分布
源代码
凭据泄露
恶意提交
依赖
传递漏洞
混淆包
构建
Runner 污染
脚本篡改
制品
镜像替换
标签漂移
可信证据层
SBOM：记录组件、版本、来源与许可证
来源证明：关联提交、构建任务、环境与身份
签名：绑定制品摘要与可信身份
准入：部署前验证策略与证据
风险可能在任意节点注入