供应链安全警示：开源组件的风险与治理

现代软件高度依赖开源组件，一处恶意提交或已知漏洞，即可通过依赖链快速扩散。供应链攻击已成为最隐蔽、最危险的安全威胁之一。

治理的核心是建立软件物料清单，持续扫描依赖中的已知漏洞，并对来源与签名进行校验。引入新组件前应评估维护活跃度与许可证风险。

企业还应建立依赖更新的常态化机制，避免长期滞后。安全不是一次性审计，而是贯穿研发全生命周期的持续动作。