安全软件供应链需嵌入镜像构建全环节：选固定版本官方基础镜像（如alpine:3.20、debian:12-slim），禁用浮动标签；多阶段构建须配合sha-256校验，禁止curl|sh；sdk与运行环境严格分离；ci/cd中强制trivy扫描、cosign签名（密钥存hsm/kms）、syft生成sbom；运行时启用kubernetes准入校验、非root用户、最小capabilities及只读挂载。
设计安全的软件供应链流程，核心是把安全控制点嵌入到镜像构建的每个环节，而不是事后补救。重点在于源头可信、过程可控、结果可验。
选对基础镜像，从第一行就守住底线
不要用 alpine:latest 或 debian:latest 这类浮动标签——它们会随上游更新悄悄变化，可能引入未审计的漏洞或行为变更。应固定具体版本并优先选择官方维护的精简镜像，例如：
-
alpine:3.20（2026年7月发布，已含最新glibc和musl安全补丁） -
debian:12-slim（比alpine内存占用略高但兼容性更强，适合Java/Python服务） - 生产环境避免使用
scratch直接运行二进制，除非确认无调试或日志需求；推荐distroless/java17-debian12等带基础工具链的无shell镜像
多阶段构建必须配合哈希校验
多阶段本身不等于安全，只有配合完整性验证才能阻断中间篡改。关键动作包括：
- 下载依赖时，必须校验 SHA-256 值：用
echo "a1b2c3... filename.tar.gz" | sha256sum -c -，失败立即exit 1 - 禁止在构建阶段执行
curl | sh或wget -O- | bash类命令，所有外部资源需预置校验值或通过私有镜像仓库代理 - 编译阶段与运行阶段严格分离：SDK、Maven、Go toolchain 等只保留在 builder 阶段，最终镜像仅复制
COPY --from=builder /app/target/*.jar /app/
扫描+签名必须进入 CI/CD 流水线强制关卡
安全检查不能靠人工触发，要变成不可绕过的构建步骤：
- 镜像构建完成后，自动调用
trivy image --severity CRITICAL,HIGH --ignore-unfixed $IMAGE_NAME扫描漏洞；发现高危项即中断 pipeline 并通知负责人 - 扫描通过后，用 Cosign 以组织级密钥签名：
cosign sign --key cosign.key $IMAGE_NAME；私钥应存于硬件安全模块（HSM）或密钥管理服务（KMS），禁止硬编码或明文存放 - 推送前生成 SBOM（软件物料清单）：
syft $IMAGE_NAME -o spdx-json > sbom.spdx.json，与镜像一同归档，供审计追溯
运行时仍需验证签名与最小权限
即使镜像构建安全，部署环节仍可能被绕过。需在集群侧加固：
- Kubernetes 准入控制器启用
cosign verify插件，拒绝未签名或签名无效的镜像拉取请求 - 容器默认以非 root 用户运行：
USER 1001，禁用NET_ADMIN、SYSCALL等高危 capabilities - 挂载卷设为只读：
readOnly: true，敏感路径如/etc、/proc显式屏蔽
