SLSA

前端项目的供应链问题不只来自运行时依赖漏洞：构建机可能被修改，发布产物可能不是审查过的源码生成，缓存或镜像也可能被替换。SLSA 提供一套描述软件供应链安全保证的术语和要求，帮助团队讨论“这个静态产物由什么源码、什么构建过程生成，是否可以追溯”。

它适合用于设计 CI 构建、锁定依赖、生成构建来源证明和审查发布权限。前端项目可以先从可复现构建、受保护分支、锁文件审查和产物哈希开始，再根据风险逐步增加隔离构建、签名和来源验证。SLSA 的等级或要求不是一个安装后自动变安全的工具，也不会替代依赖漏洞修复、代码审查、密钥管理和运行时安全。

使用时应把源码仓库、构建系统、制品仓库、CDN 发布和回滚流程连起来记录。来源证明需要保护其完整性，验证方还要确认源码提交、构建步骤、依赖版本和发布目标是否符合项目策略；只保存一个文件哈希并不能证明它来自可信构建。

SLSA 文档和规范仓库公开维护，可免费阅读和在符合许可条件的项目中使用。规范会演进，实施时应锁定采用的版本并记录尚未满足的要求，不要把某个供应商的托管功能或付费服务当作本条资源的一部分。