빌드는 초록불이었는데 그 라이브러리는 누가 넣었나

빌드가 성공했다는 사실은 무엇이 실려 나갔는지 말해 주지 않습니다. 직접 고른 의존 일곱 개가 스물다섯 개를 끌고 오고, 그중 하나는 아무도 고른 적이 없습니다. 이 과정은 산출물의 목록(SBOM)을 손으로 만들고, 취약점 자료와 경계값까지 맞춰 대조하고, 서명과 출처 증명을 붙여, 증거가 모자란 릴리스를 배포 전에 막는 관문까지 세웁니다. 형식은 CycloneDX·OSV·SLSA 공식 문서를 그대로 따릅니다.

중급 · 레슨 14 · 실습 4

실습 시작하기

커리큘럼

참고 문서

• SLSA — 보안 레벨(Build 트랙)
• SLSA — Provenance v1 술어
• sigstore — cosign 서명 개요
• CycloneDX — 규격 개요
• SPDX 2.3 — 꾸러미 정보
• OSV — 취약점 자료 스키마