供应链攻击溯源：CI/CD Pipeline 凭据投毒与依赖混淆（Dependency Confusion）

发表于：2024-11-05|最后更新：2024-11-07|分类：DevSecOps|阅读：1892 次

现代软件供应链安全攻击从传统的直接篡改代码，转向针对构建流水线（如 GitHub Actions、GitLab CI）和私有包仓库（npm、PyPI）的**依赖混淆（Dependency Confusion）**投毒，进而窃取部署凭据或植入隐蔽后门。

一、GitHub Actions 最小权限原则配置

yaml

name: Secure Build Pipeline
on: [push]

# 撤销默认宽泛权限，采用显式最小权限模型
permissions:
  contents: read
  packages: none
  id-token: write

jobs:
  build:
    runs-on: ubuntu-latest
    steps:
      - name: Checkout Code
        uses: actions/checkout@v4
        with:
          persist-credentials: false