供应链安全

1. 概述

Fystack 将每一个依赖、构建产物和流水线环节都视为潜在的攻击面。源码锁定、SBOM 校验、可复现构建和产物签名共同确保发布到生产环境的内容与经过审计的源码完全一致。

2. 静态应用安全测试（SAST）

Fystack 采用多种静态应用安全测试（SAST）工具来监控供应链和依赖安全。这些工具持续分析源码、依赖和构建产物，在潜在漏洞和安全风险进入生产环境之前将其识别出来。

Fystack 代码扫描安全

3. 依赖管理

Fystack 尽量避免引入不必要的依赖。通过缩减依赖规模，我们降低了攻击面和潜在的漏洞暴露。每个依赖在引入项目之前，都会针对其必要性、安全状况和维护状态进行仔细评估。

4. 供应链漏洞监控

Fystack 结合使用多种工具，及时掌握供应链漏洞信息：

• GitHub Code Scanning： 集成到开发流程中，自动扫描代码中的安全问题和漏洞
• Socket： 实时监控依赖中的安全漏洞和可疑的包行为
• Snyk： 对依赖、容器和基础设施即代码进行持续监控和扫描，发现已知漏洞

这些工具协同工作，全面覆盖供应链，一旦发现新漏洞便立即通知安全团队。

5. 分层 CI/CD 流水线

Fystack 采用分层的 CI/CD 流水线，在多个阶段检查代码安全和依赖漏洞：

• 提交前检查： 在代码提交前进行自动化安全扫描
• 构建时校验： 在构建过程中扫描依赖漏洞
• 部署前关卡： 在产物部署前进行最终安全检查
• 部署后监控： 持续监控运行中的应用

每一层都提供纵深防御，确保漏洞被尽早发现，不会进入生产环境。

6. 最佳实践

环境加固、强制代码评审和持续依赖扫描，确保在整个发布流程中始终执行相同的安全控制。所有依赖均锁定到特定版本，SBOM（软件物料清单）校验则确保每次构建所包含的内容完全透明。