该技能面向软件供应链安全，用于在开发与发布流程中识别和降低依赖风险。
用途：生成软件物料清单（SBOM）、实施SLSA框架合规、配置依赖漏洞扫描、防范依赖混淆攻击、配置锁文件与完整性校验、使用Sigstore进行代码签名、验证软件来源、用OpenSSF Scorecard评估项目安全。
主要能力与覆盖范围：介绍依赖混淆、仿冒包名、维护者被入侵、构建系统攻击、恶意依赖等攻击类型及预防思路；给出SLSA 1至4级的要求与防护范围；按npm/Node.js、Python、Go、.NET、Java/Maven、Rust列出漏洞扫描工具、锁文件与SBOM生成工具；说明CycloneDX、SPDX、SWID三种SBOM格式的定位；提供各生态系统的SBOM生成、漏洞扫描、锁文件哈希校验与生成命令，以及CI/CD中生成并上传SBOM的示例；给出私有注册表配置与依赖混淆检测思路；说明cosign签名镜像与包、npm provenance、sigstore签名Python包的方法；介绍OpenSSF Scorecard安装、运行及GitHub Action配置，并列举其检查项含义；末尾附发布前与仓库安全检查清单。
使用方式：按文档中的命令在各生态系统中安装相应工具并执行，例如生成SBOM、运行漏洞扫描、配置锁文件与哈希、在CI中集成扫描与SBOM上传、配置私有注册表作用域、使用cosign或sigstore签名与验证。
适用场景：需要建立依赖治理、发布物料清单、供应链攻击防护、签名与来源验证、项目安全评分的开发与安全团队。
限制：文档聚焦工具与流程指导，未说明各工具的成本、版本兼容性细节或适用规模的明确结论；实际效果取决于项目环境与配置，缺失信息暂未提供。