供应链安全

这一课你将能做到

1. 说清依赖风险的本质：为什么你只看了一页 pom.xml，却信任了 500 个陌生 jar
2. 在 CI 里配置 Dependabot + lockfile + 签名验证，阻止已知漏洞和恶意包进入构建
3. 画出本站的依赖树，并识别出 3 类高风险依赖（过旧版本、未使用、来自个人维护者）

为什么要学

你的应用不是完全由你写的。pom.xml 里 30 个直接依赖，实际拉下来可能 300 个间接依赖。Log4j2（log4j-core）只是其中之一，但一次远程代码执行漏洞就席卷全球。2023 年 xz 后门事件则证明：依赖不仅可以有漏洞，还可以被主动植入后门。

人话：供应链攻击是「借刀杀人」——我不打你的代码，我打你信任的第三方包。你 import 的那个库如果被攻陷，等于你自己的服务器被攻陷。防御三原则：知道你在依赖什么、只信你验证过的、能回退能审计。

先建立图像

一个 Spring Boot 项目的真实依赖图：

你的代码: myapp.jar
    │
    ├─ spring-boot-starter-web (官方)
    │       ├─ spring-web  ← 官方可信
    │       ├─ tomcat-embed-core  ← 注意 CVE 历史
    │       └─ jackson-databind  ← 多次 RCE 漏洞
    │
    ├─ mybatis-plus (第三方)
    │       ├─ mybatis  ← 个人维护者
    │       └─ jsqlparser  ← 更小项目
    │
    └─ commons-compress (第三方)
            └─ xz-java  ← xz 后门同款

直接依赖: 30 个
传递依赖: 300+ 个
攻击面: 每个 jar 都是

构建管道的信任链：

源代码 ──→ 依赖解析 ──→ 编译构建 ──→ 镜像构建 ──→ 部署上线
   │          │             │             │             │
   │          ├ lockfile    ├ 签名工具    ├ SBOM       ├ 准入校验
   │          │ 防漂移      │ 防篡改      │ 可追溯     │ 拒绝未签名的
   │          │             │             │             │
   └─ git ────┴─ 仓库 ─────┴─ 制品库 ────┴─ 镜像仓库 ──┴─ K8s

跟着做

步骤 1：看依赖树，知道你在信任什么

mvn dependency:tree > deps.txt
# 重点看：
# - 过旧版本（是否有 CVE）
# - 未使用的依赖（代码里没 import）
# - 来自个人或极小项目的传递依赖

也可以用插件可视化：

mvn com.github.ferstl:depgraph-maven-plugin:graph
# 生成 .dot 文件，用 Graphviz 转成 PNG 查看

清理未使用依赖（用 mvn dependency:analyze）：

mvn dependency:analyze
# Unused declared dependencies:   可以删掉
# Used undeclared dependencies:   显式声明（避免传递版本变更导致意外）

步骤 2：锁定依赖版本（lockfile）

Maven 不像 npm 有原生 lockfile，用 dependency:resolve 生成固定版本快照：

# 把当前所有解析出的版本锁定到一个文件
mvn dependency:resolve dependency:copy-dependencies \
  -DoutputDirectory=lib -DincludeScope=runtime

# 更推荐：在 pom 里显式管理传递依赖版本
<dependencyManagement>
  <dependencies>
    <!-- 显式声明你关心的传递依赖版本，避免被覆盖 -->
    <dependency>
      <groupId>com.fasterxml.jackson.core</groupId>
      <artifactId>jackson-databind</artifactId>
      <version>2.17.0</version>
    </dependency>
  </dependencies>
</dependencyManagement>