這是 GitHub 資源中心發布的文章，說明「軟體供應鏈安全」（software supply chain security）指的是保護軟體從開發到交付整個過程的每一個環節，包括原始碼、第三方套件與自動化系統，目的是防止攻擊者透過供應鏈裡任何一個環節入侵系統。
文章把供應鏈安全拆成七個重點：原始碼完整性（安全編碼習慣與程式碼審查）、依賴管理（用軟體物料清單 SBOM 盤點套件並定期稽核）、安全測試（在開發早期就做左移測試）、存取控制（角色權限與多因素認證）、風險管理、法規合規，以及持續監控；也列出幾種常見攻擊手法，例如惡意程式碼植入、憑證竊取、套件來源被竄改、套件名稱仿冒（typosquatting）等。
文章以 2020 年的 SolarWinds 事件作為實例，說明攻擊者在一次可信的軟體更新中植入惡意程式碼，影響了數千個組織，包括政府機構與大型企業；文章提到該事件後，業界更廣泛採用零信任模型與多因素認證，GitHub 也提供 Dependabot 等工具自動掃描依賴套件漏洞並送出修補的拉取請求。
這篇文章偏向企業層面的資安管理介紹，對正在學程式的孩子來說比較進階，但可以讓他們提早理解一個觀念：寫程式不只是自己的程式碼要正確，使用別人寫好的套件（像是 import 進來的函式庫）也可能藏有風險，這也是為什麼學程式時要養成留意套件來源的習慣。
資安開源軟體開發