供应链与运行时安全：从依赖来源追到线上进程

代码审查通过，不代表最终运行的程序就来自那份代码。构建环境可能取到了不同依赖，镜像里可能残留密钥，线上进程也可能拥有远超需要的权限。供应链与运行时安全要把这些环节接起来：知道用了什么、怎样生成、部署了哪个制品，以及运行后发生了什么。

本文按依赖、构建、密钥、镜像和审计五个环节展开。实际实验只构建和扫描本地公开 Go 夹具，并验证摘要及日志边界；没有连接生产仓库、密钥服务或容器集群。

一份制品需要几种不同证据

正在绘制图示…

查看图源代码

flowchart LR
    S["审核过的源码与依赖定义"] --> B["受控构建环境"]
    B --> A["制品与内容摘要"]
    B --> P["构建来源证明 provenance"]
    A --> M["组件清单 SBOM"]
    A --> V["扫描与发布策略"]
    P --> V
    M --> V
    V --> D["按摘要部署"]
    D --> R["受限运行身份与密钥"]
    R --> L["审计、告警、修复与重建"]

原始尺寸下可横向或纵向滚动；按 Escape 关闭。

正在绘制图示…

查看图源代码

flowchart LR
    S["审核过的源码与依赖定义"] --> B["受控构建环境"]
    B --> A["制品与内容摘要"]
    B --> P["构建来源证明 provenance"]
    A --> M["组件清单 SBOM"]
    A --> V["扫描与发布策略"]
    P --> V
    M --> V
    V --> D["按摘要部署"]
    D --> R["受限运行身份与密钥"]
    R --> L["审计、告警、修复与重建"]

图中的文件不能互相替代。SBOM 告诉你有哪些组件，provenance 说明构建来源，签名帮助验证谁为某个内容作了声明；它们都不会直接证明程序逻辑没有漏洞。

证据	回答的问题	典型用途	不能证明什么
依赖定义与校验记录	解析了哪些依赖版本、预期内容是什么	重建、核对依赖变更	所选版本没有恶意代码
制品摘要	这份字节内容是否相同	按 digest 部署和核对	摘要来自可信发布者
SBOM	制品包含哪些组件及版本关系	新漏洞公布后定位受影响制品	组件一定可达、系统一定安全
构建 provenance	谁用什么输入和流程构建了什么	验证构建来源与发布策略	构建者本身绝不会被攻破
签名或认证证明	谁对指定内容作了承诺	验证已配置的发布身份	声明内容自动真实或代码无缺陷
扫描报告	此时此工具识别了哪些已知问题	修复优先级与发布阻断	没有未知漏洞或业务越权

SBOM 可使用 SPDX、CycloneDX 等格式；要关联到最终制品摘要，而不是只导出开发目录里“可能存在”的依赖。SLSA 则区分构建保证与 provenance 等内容，本文引用固定的 v1.2 规范，不凭一份 JSON 自称达到了某个 SLSA 等级。SPDX 概览、CycloneDX SBOM、SLSA v1.2

Go 依赖：固定版本与验证内容，解决的是两类问题

go.mod 描述模块要求和相关构建选择，实际构建列表还受模块选择规则、替换、本地 workspace 等影响。go.sum 保存下载模块及其 go.mod 的校验值，不是其他生态常见的“只列最终版本的 lockfile”。提交两者并不意味着所有构建输入都被锁住，工具链版本、构建标签、GOOS/GOARCH、CGO、外部系统库与生成步骤也会影响结果。Go Modules Reference

go mod verify 检查模块缓存中的依赖内容是否与下载记录吻合；校验数据库帮助发现公开模块同版本内容被改写。它们保护的是内容一致性，不能替你判断代码是否可信，也不能自动消除恶意新版本。私有模块的代理和校验例外应精确配置，避免为了让一次下载成功就全局关闭验证。模块认证

一个可审查的发布流程应记录源码 commit、依赖构建列表、工具链版本、构建配置和输出摘要；对生成代码、下载脚本、CI 插件与基础镜像也做来源审查。固定 digest 可以防止同名标签悄悄改变，但固定以后还必须主动升级，不能永久停在有漏洞的快照上。

摘要能发现改动，但它没有自己的信任来源

本地程序对公开字节夹具计算 SHA-256，再改一个版本号比较：

expected := digest([]byte("public build artifact fixture v1"))

text

original-digest=true changed-digest=false

这说明字节改动改变了校验结果。如果攻击者能同时替换程序和“预期摘要”，比较依然能通过。测试里也保留了这个反例，提醒我们摘要需要来自受信发布记录、签名或其他独立渠道；不要把同目录里随制品一起被替换的 .sha256 文件当作完整来源证明。

构建来源证明应把输出摘要绑定到具体构建输入与可信构建者，部署策略再检查允许的构建身份、源码范围与流程约束。可重现构建能提高独立核对能力，但同样不能说明输入代码本身没有问题。SLSA provenance

依赖漏洞扫描：要读懂“发现”与“没发现”

Go 的 govulncheck 使用 Go 漏洞数据库。源码模式可以结合代码分析判断已知漏洞符号与调用路径；只知道模块版本受影响，与当前程序已知调用到漏洞符号，是不同层次的信息。二进制模式可检查构建制品，但可获得的信息与源码模式并不完全相同。Go 漏洞管理文档、govulncheck 使用说明

扫描信息	应当怎么解释	后续动作
模块版本命中	依赖版本落在已知受影响范围	看具体包、符号、平台与修复版本
调用路径命中	工具识别出相关代码可能从入口可达	结合输入与部署条件优先处理
未识别出可达路径	本次分析没找到路径	核对反射、插件、生成代码、配置与分析限制
没有发现	此工具和数据库下没有报告	保留报告与范围，继续其他检查
扫描失败	没有获得可靠扫描结果	修复加载/网络/数据库问题，不能当作通过

漏洞是否适用，要核对版本、操作系统、架构、启用功能、攻击者能否控制输入及实际调用链。可达性有助于排序，不应该成为无限期不升级的借口；源码分析也不覆盖所有动态行为、CGO 依赖和运行环境问题。

本次安装并使用固定版本 govulncheck v1.9.0，对只用标准库的本地 example.com/security06 扫描：

govulncheck ./...

text

No vulnerabilities found.

执行时间为 2026-10-13，工具报告的数据库更新时间是 2026-10-08 22:31:09 +0000 UTC。这个结论只属于该夹具、Go 1.27.2、此次分析与这份数据库；没有第三方业务依赖，更不能推断用户项目已安全。数据库更新后重跑，结果可能改变。

发现问题后形成闭环：确认适用性，选择修复版本或有效缓解，重建制品，重新扫描，部署新摘要，再确认线上实例确实更新。Go 程序可能静态包含标准库和依赖；升级构建机而不重建、重部署旧二进制，不会改变旧程序里的代码。对暂缓项记录理由、负责人、到期日和复查条件，而不是把报告永久忽略。

密钥管理：减少分发范围，也设计好撤销

密钥包括 API key、数据库凭据、签名私钥、加密密钥和第三方 token。它们的风险取决于能够执行什么动作、在哪些系统有效、有效多久和暴露给哪些进程。把密钥换个文件名或做 Base64 编码，不会降低它本身的权限。

保存或发放方式	优点	需要防住的风险
环境变量	集成简单，进程启动即读	调试、崩溃信息、子进程继承和错误日志可能暴露
受限挂载文件	可以独立更新并控制读取范围	权限、挂载范围、文件轮换与缓存副本
Secret 管理服务	集中版本、访问控制、审计	启动身份、可用性、缓存、租期与轮换实现
动态短期凭据	缩短静态秘密有效期	续租失败、过期回收、后台任务生命周期
KMS 密钥操作	可减少原始密钥材料分发	调用权限仍能造成解密或签名滥用

Kubernetes Secret 的 Base64 字段不是加密；官方文档提醒 Secret 默认在 etcd 中以未加密形式保存，静态加密、RBAC、工作负载权限和读取范围需要显式治理。即便加密了 etcd，已经获准读取 Secret 的主体仍能取得内容。Kubernetes Secrets

开发阶段应避免把秘密写进仓库、示例、CI 输出和镜像层。Docker build 的 ARG/ENV 不适合传递构建秘密，使用受支持的 build secret 机制，并确认秘密没有被构建命令复制到制品或日志里。Docker build secrets

轮换至少包含发布、切换、停止接受与清理

正在绘制图示…

查看图源代码

stateDiagram-v2
    [*] --> Prepared: 生成新版本并授予最小权限
    Prepared --> DualAccepted: 验证方能识别新版本
    DualAccepted --> NewActive: 签发或新写入切到新版本
    NewActive --> OldRetired: 旧版本不再签发或新加密
    OldRetired --> OldDisabled: 旧数据迁移或旧凭据窗口结束
    OldDisabled --> Removed: 满足恢复与销毁策略后清理

原始尺寸下可横向或纵向滚动；按 Escape 关闭。

正在绘制图示…

查看图源代码

stateDiagram-v2
    [*] --> Prepared: 生成新版本并授予最小权限
    Prepared --> DualAccepted: 验证方能识别新版本
    DualAccepted --> NewActive: 签发或新写入切到新版本
    NewActive --> OldRetired: 旧版本不再签发或新加密
    OldRetired --> OldDisabled: 旧数据迁移或旧凭据窗口结束
    OldDisabled --> Removed: 满足恢复与销毁策略后清理

图表示正常轮换。若旧密钥已泄漏，就不能为了平滑过渡无限继续接受旧签名；应根据泄漏范围撤销凭据、重建信任并评估受影响数据。加密密钥的旧版本还可能用于解密历史数据，删除前必须确认迁移与备份恢复路径，避免把安全事件变成永久数据丢失。

轮换设计还要覆盖所有实例何时重新加载、失败时是否回滚、离线任务能否继续使用旧值，以及审计如何关联 key ID。密钥版本 ID 可以记录，密钥材料本身不应进日志。OWASP Secrets Management

最小化镜像：删掉不需要的东西，同时保留可维护性

多阶段构建把编译器、源码、构建缓存留在构建阶段，运行镜像只包含应用所需内容。更小的镜像通常有更少待维护组件，但镜像大小不是安全分数：漏洞可能就在你的应用里，移除 shell 也不会阻止攻击者通过已有代码路径做坏事。Docker 构建建议

运行镜像选择	适合的前提	容易忽略的运行依赖	运维取舍
`scratch`	应用确实不需要用户空间发行版	CA 根、时区、动态库、配置和文件目录	最简，但交互排障不方便
distroless	需要受维护的精简运行组件	变体是否含 libc、CA 与非 root 用户	减少包管理器和 shell，仍需更新
精简发行版	有系统工具或动态库需求	多出来的包、包漏洞和权限	排障方便，维护面更大

CGO_ENABLED=0 对许多纯 Go 程序有助于构建不依赖 C 动态库的二进制，但不能保证所有应用都能这样编译。需要 CGO 的数据库驱动、系统库与 DNS 行为等，必须针对目标程序验证，不能为了使用 scratch 就盲目改编译选项。

本例只输出本地测试信息，实际用 CGO_ENABLED=0 go build -trimpath 构建了 Linux/amd64 二进制，并读取了构建元数据：

text

path    example.com/security06
mod     example.com/security06    (devel)
build   CGO_ENABLED=0
build   GOARCH=amd64
build   GOOS=linux

这是 go version -m 输出的相关行摘录，不是完整 SBOM，也不是签名 provenance。本文环境关闭了 VCS 自动嵌入，因此不能从这份输出声称已经记录源码 commit；真实发布流水线应另行绑定受审 commit。Go 构建信息

文末给出一个两阶段 Dockerfile 模板：构建基础镜像必须由调用者传入已验证 digest，运行阶段为 scratch、非 root UID。没有提供伪造的镜像摘要，也没有实际运行 Docker。示例程序不使用 HTTPS、时区数据库或外部文件；换成真实服务后，必须补齐所需运行资源并测试。

运行时权限决定漏洞能波及多远

运行时应按需要选择非 root、只读根文件系统、有限可写目录、移除不必要 capabilities、禁止提权、进程与资源限额，以及网络出站限制。不要挂载 Docker socket 或不必要的宿主目录。容器共享宿主内核，镜像精简不能替代内核更新和运行时隔离。Kubernetes Security Checklist

限制也有成本：只读文件系统需要为临时文件配置明确目录；无 shell 会改变排障方式；严格出站限制需要整理依赖地址。应在预发布验证启动、健康检查、证书轮换、故障诊断和备份恢复，不是在故障时临时给进程全部权限。

审计日志：既要可追溯，也要防止日志自己泄密

应用调试日志关注“哪里出错”，审计日志关注“谁在何时对哪个对象做了什么、结果如何”。至少应有可信主体、动作、对象、结果、时间与请求关联 ID；权限改变、密钥使用、管理操作和异常拒绝是重点。客户端自报的用户名不能直接当作已验证审计主体。

实验用固定字段结构输出 JSON，而不是把任意请求数据拼进一行日志。输入动作包含换行，实际输出为：

text

{"actor":"user-7","action":"read\nforged-entry","object":"document-42","result":"deny","request_id":"public-request-1"}
physical-log-lines: 1

这里 \n 是 JSON 内的转义内容，没有制造第二条物理日志。字段允许列表避免顺手记录 Authorization、Cookie、密码或完整请求体；但若调用方主动把秘密放进 Object 字段，JSON 编码器不会替你判断它敏感，因此仍需数据规范与审查。OWASP Logging

本例为稳定输出省略了时间字段，生产必须由可信服务端时钟记录时间，同时考虑时钟同步和事件顺序。还需要把日志及时送到限制修改权限的集中存储，设置保留与访问策略，检测丢失、积压和存储失败。单机追加文件不是防篡改保证；哈希链也无法独自防止拥有全部写权限的人重写整条链或删除末尾，必须有独立保护与外部锚点等配套。

对高风险操作，审计不可用时是否拒绝、等待持久化或写事务 outbox，应由业务明确决定。只打印一条日志但没有人接收告警，不等于有了安全响应能力。告警应有负责人、调查步骤、证据保留和演练，避免把扫描报告与审计流堆成无人处理的列表。

依据与验证边界

依赖和构建：Go Modules Reference；Go BuildInfo；SLSA v1.2 provenance；SPDX 与 CycloneDX 官方 SBOM 说明。
扫描：Go 官方漏洞管理文档；固定 golang.org/x/vuln/cmd/govulncheck v1.9.0。2026-10-13 扫描数据库报告更新时间为 2026-10-08 22:31:09 UTC；正文无发现仅限公开纯标准库夹具。
部署与秘密：Docker 官方构建和 secret 文档，Kubernetes Secrets 与 Security Checklist，OWASP Secrets Management、Logging。
实测：官方 Go 1.27.2、Linux/amd64；go run .、go test -race -count=1 ./...、go vet ./...、go mod verify、纯 Go 构建和 go version -m 均执行。这里没有第三方模块，因此 go mod verify 的 all modules verified 不代表校验了任何第三方依赖。
未运行 Docker build/run、镜像扫描、Kubernetes、Vault/KMS、真实密钥轮换、SBOM 生成、签名 provenance 或生产审计平台。Dockerfile 是待目标环境验证的模板，不是已构建镜像。

完整复现代码与配置

普通 Go 实验不需要容器。若要另行试 Dockerfile，先确定可信构建镜像 digest；不要把示意值替换成随手搜索来的镜像。下面的扫描命令会读取官方漏洞数据库，结果会随数据库更新改变。

`go.mod`

go.mod

module example.com/security06

go 1.27.2

`main.go`

代码块 · 42 行 · 点击收起 / 展开

package main

import (
	"bytes"
	"crypto/sha256"
	"encoding/hex"
	"encoding/json"
	"fmt"
	"io"
	"runtime/debug"
	"strings"
)

func digest(b []byte) string                 { sum := sha256.Sum256(b); return hex.EncodeToString(sum[:]) }
func matches(b []byte, expected string) bool { return digest(b) == expected }

type Audit struct {
	Actor     string `json:"actor"`
	Action    string `json:"action"`
	Object    string `json:"object"`
	Result    string `json:"result"`
	RequestID string `json:"request_id"`
}

// A field allowlist: no arbitrary request body, Cookie, or Authorization fields.
func writeAudit(w io.Writer, e Audit) error { return json.NewEncoder(w).Encode(e) }
func main() {
	artifact := []byte("public build artifact fixture v1")
	expected := digest(artifact)
	fmt.Printf("original-digest=%v changed-digest=%v\n", matches(artifact, expected), matches([]byte("public build artifact fixture v2"), expected))
	var log bytes.Buffer
	err := writeAudit(&log, Audit{"user-7", "read\nforged-entry", "document-42", "deny", "public-request-1"})
	if err != nil {
		panic(err)
	}
	fmt.Print(log.String())
	fmt.Println("physical-log-lines:", strings.Count(log.String(), "\n"))
	info, ok := debug.ReadBuildInfo()
	if ok {
		fmt.Println("build-go:", info.GoVersion)
	}
}

`main_test.go`

代码块 · 38 行 · 点击收起 / 展开

package main

import (
	"bytes"
	"encoding/json"
	"strings"
	"testing"
)

func TestDigest(t *testing.T) {
	b := []byte("public fixture")
	want := digest(b)
	if !matches(b, want) || matches([]byte("modified"), want) {
		t.Fatal("digest comparison")
	}
	if !matches([]byte("modified"), digest([]byte("modified"))) {
		t.Fatal("matching an attacker-controlled digest does not prove trust")
	}
}
func TestAuditBoundary(t *testing.T) {
	var out bytes.Buffer
	want := Audit{"user-7", "read\nforged", "document-42", "deny", "r1"}
	if err := writeAudit(&out, want); err != nil {
		t.Fatal(err)
	}
	if strings.Count(out.String(), "\n") != 1 {
		t.Fatal("line injection")
	}
	var got Audit
	if err := json.Unmarshal(out.Bytes(), &got); err != nil || got != want {
		t.Fatal(got, err)
	}
	for _, forbidden := range []string{"Authorization", "Cookie", "password"} {
		if strings.Contains(out.String(), forbidden) {
			t.Fatal("unexpected sensitive field")
		}
	}
}

`Dockerfile`

dockerfile

# Template, NOT built in this article. Pass an independently verified digest.
# Example shape: registry.example/approved-go@sha256:<64 hex digits>
ARG GO_IMAGE
FROM ${GO_IMAGE} AS build
WORKDIR /src
COPY go.mod ./
COPY main.go ./
RUN CGO_ENABLED=0 go build -trimpath -buildvcs=false -o /out/app .
FROM scratch
COPY --from=build --chown=65532:65532 /out/app /app
USER 65532:65532
ENTRYPOINT ["/app"]

运行命令

go mod download
go run .
go test -race -count=1 ./...
go vet ./...

本文实际运行的构建与扫描命令

go mod verify
CGO_ENABLED=0 go build -trimpath -buildvcs=false -o app .
go version -m ./app
# 安装到当前项目的工具目录，不改系统二进制。
GOBIN="$PWD/.tools" go install golang.org/x/vuln/cmd/govulncheck@v1.9.0
.tools/govulncheck -version
.tools/govulncheck ./...

容器模板的运行前提（本文未运行）

GO_IMAGE 是必填构建参数，必须来自独立核验的官方或组织批准来源。以下命令只有在已设置 APPROVED_GO_IMAGE 为完整 name@sha256:... 引用、且有 Docker 环境时才运行。示例服务不需要网络，因此运行模板关闭网络；真实服务需设计自己的出站策略。

: "${APPROVED_GO_IMAGE:?set an independently verified image digest}"
docker build --build-arg GO_IMAGE="$APPROVED_GO_IMAGE" -t local-security-fixture .
docker run --rm --read-only --cap-drop=ALL \
  --security-opt=no-new-privileges --network=none \
  --pids-limit=64 --memory=64m --cpus=1 local-security-fixture

供应链与运行时安全：从依赖来源追到线上进程 ​

一份制品需要几种不同证据 ​

Go 依赖：固定版本与验证内容，解决的是两类问题 ​

摘要能发现改动，但它没有自己的信任来源 ​

依赖漏洞扫描：要读懂“发现”与“没发现” ​

密钥管理：减少分发范围，也设计好撤销 ​

轮换至少包含发布、切换、停止接受与清理 ​

最小化镜像：删掉不需要的东西，同时保留可维护性 ​

运行时权限决定漏洞能波及多远 ​

审计日志：既要可追溯，也要防止日志自己泄密 ​

依据与验证边界 ​

完整复现代码与配置 ​

go.mod ​

main.go ​

main_test.go ​

Dockerfile ​

运行命令 ​

本文实际运行的构建与扫描命令 ​

容器模板的运行前提（本文未运行） ​

供应链与运行时安全：从依赖来源追到线上进程

一份制品需要几种不同证据

Go 依赖：固定版本与验证内容，解决的是两类问题

摘要能发现改动，但它没有自己的信任来源

依赖漏洞扫描：要读懂“发现”与“没发现”

密钥管理：减少分发范围，也设计好撤销

轮换至少包含发布、切换、停止接受与清理

最小化镜像：删掉不需要的东西，同时保留可维护性

运行时权限决定漏洞能波及多远

审计日志：既要可追溯，也要防止日志自己泄密

依据与验证边界

完整复现代码与配置

`go.mod`

`main.go`

`main_test.go`

`Dockerfile`

运行命令

本文实际运行的构建与扫描命令

容器模板的运行前提（本文未运行）