在当今的 DevOps 环境中，从源码编写、编译构建直至封装分发，软件供应链的每一步都潜藏着代码被非法篡改的风险，任何一环的脆弱性都将严重削弱我们对最终部署代码完整性和真实性的信赖基础。鉴于此背景，我们采取了一系列措施，致力于实现软件供应链全生命周期的可信保障。本次演讲将通过分析软件供应链潜在的"不可信"因素，从服务投产的前、中、后三个阶段来讲解保障供应链高可信的手段，最后分享落地 SLSA 体系的实践。

演讲提纲

1. DevOps 场景下的供应链面临哪些威胁？

• 投毒/漏洞案例
• 供应链的构成
• DevOps 下不可信的威胁

2. 如何保证依赖的供应链的高可信

• 服务投产前的高可信
• 运行时的高可信
• 投产后发现风险供应链的补救措施

3. SLSA 体系的落地

• 阿里研发平台的 SLSA 建立
• 可信软件供应链的架构
• SLSA 体系为一线研发带来了什么

4. 总结展望

您认为，这样的技术在实践过程中有哪些痛点？

• 历史上存量供应链的溯源比较困难
• 可信软件供应链建设也并非绝对可信
• 可信软件供应链等级重新评估的时机与频率

演讲亮点

• SLSA 定义过程中对构建、安全、质量等维度信息的取舍
• 与 CICD 完美结合的实战经验

听众收益

• 理解软件可信供应链建设的策略
• 在日常方案设计与实践中的决策方法，如何用因地制宜的思想去落地最适合当下的方案