从 tj-actions 到 npm 蠕虫：Go 供应链安全防御指南
rseroter · x · 2026-08-05
本文探讨了在 2026 年背景下，如何构建安全的 Go 语言软件供应链。作者指出，现代攻击往往不依赖于受害者代码的漏洞，而是通过污染依赖项或构建工具链入侵。
文章回顾了 2025 年的两起标志性供应链安全事件：
- tj-actions/changed-files 遭投毒（CVE-2025-30066）：攻击者篡改了 GitHub Action 的版本标签，导致约 23,000 个仓库在 CI 流程中泄露了密钥。
- Shai-Hulud 蠕虫：npm 生态中首个自传播蠕虫，在安装包时自动扫描并窃取 Token，随后自动发布恶意版本。
以此为基础，文章强调软件安全的核心在于构建管道，并为 Go 语言开发者提供了一套防御性的 DevSecOps 实践指南。
「编程与Agent」频道最新
- 开发者观点:通用大模型加智能体框架是编程未来 — xeophon · 2026-08-05
- LangChain 发布自动化评测技能，助力 Coding Agent 构建 Eval — BraceSproul · 2026-08-05
- Obsidian 智能体检索工作流：语义与关键词的优雅降级 — dSebastien · 2026-08-05
- NeurIPS 2026 征文：聚焦元智能体与自动化设计 — RobertTLange · 2026-08-05
- Spring Evals：用隐藏测试评估大模型编写真实代码能力 — therealdanvega · 2026-08-05
- SAP 智能体架构选型探讨：MCP 负责工具执行，A2A 负责编排 — SillyDot3305 · 2026-08-05