awesome software supply chain security
1.0.0
軟件供應鏈安全域中資源的彙編，重點是開源。
該領域沒有規定的分類學。該列表必須與DevSecops，Sast，SCA等學科和類別有一些重疊。
供應鏈合成的存儲庫提供了有關為什麼是這種情況的長期閱讀，並隨著演變而了解和導航的有用指針。
對於awesome-software-supply-chain-security我們採用以下高級方法：供應鏈中的不同演員為鏈中代表的元素做出了證明。
在這種以過程為中心的觀點中，發出證明，增強（例如，在組成期間）並進行了驗證。
喬什·布雷斯斯（Josh Bressers）在這裡描述了另一種看待這一點的方法，這是Spotify的野外敘述
使用這些鏡頭，我們可以識別大量的“主題”（依賴性），“事實”（許可或脆弱性）的不同類別以及身份，出處和建築系統的具體作用。這是當前標題背後的基本原理，預計將隨著域而發展。
定義該域的正在進行的過程的其他示例包括添加不良設計作為供應鏈方案·問題＃249·SLSA-FRAMEWORK/SLSA，SLSA如何適合更廣泛的供應鏈安全？ ·問題＃276·SLSA-FRAMEWORK/SLSA。從Aeva Black和Dan Lorenc查看此推文，以獲取另一個關鍵項目的另一個觀點。
本節包括：軟件包管理，庫管理，依賴管理，供應商依賴關係管理，劃界搜索，軟件包，圖書館和依賴項命名，庫行為標籤，圖書館出版，註冊表和存儲庫，發布門和掃描，依賴性生命週期。
purl ，CPE或其他形式的ecosystem:name:version或通過Hash）：curl ：另請閱讀：
本節包括：軟件包/庫掃描儀和檢測器，SBOM格式，標準，創作和驗證以及一些應用程序。可能包括SCA。
最完整的參考是Awesomesbom/Awesome-Sbom。另一個專注於發電機的回購是Cybeats/SBOMGEN：SBOM生成工具列表。
docker sbom命令使用隔離創建SBOM更多有趣的資源：
一些開源項目在公開場合記錄了他們如何獲得依賴性。這個有意的，人性化的，長期的例子可以說明：
關於Vex的專用部分，讀取：
另請參閱：
本節包括：入學和攝入策略，拖拉時間驗證和最終用戶驗證。
hadolint規則，例如，Hadolint/readme.md，D16F342C8E70FCFFC7A788D122ABA60202075250D·Hadolint/Hadolint另請參閱：
以及除圖書館和軟件依賴性以外的幾件事：
本節包括：針對開發人員身份，OIDC，鑰匙扣和相關主題的項目和討論細節。
git完全兼容本節包括：供應鏈攻擊和新興類別的參考架構和權威彙編。
另請參閱：
本節包括：可再現的構建，密封構建，可引導構建，CI/CD系統的特殊注意事項，最佳實踐建設OCI容器等文物，等等。
apt-transport-in-toto或dnf-plugin-in-toto一起使用的in-toto Metadata，以驗證可忽視的狀態。另請參閱：
apko模式，請參閱Shopify/Hansel以及閱讀和聆聽的集合，包括洞察力的博客文章，解釋器/全能器以及一些長期的分析（我們試圖將深度潛水讀取為其他部分的深入研究）
