用途：保障从依赖到部署制品的整条软件供应链安全，涉及 SBOM、依赖扫描、构建溯源、制品签名与 CI/CD 完整性。适用于需要应对投毒包、依赖混淆、构建系统被篡改、制品被替换、CI 凭证泄露等风险的场景，并呼应 OWASP 供应链失效与 NIS2、网络韧性法案等合规要求。
主要能力：生成并附带 SBOM（syft 支持 CycloneDX/SPDX，可用 grype、osv-scanner 扫描 SBOM 并设置 --fail-on 阈值）；依赖卫生（npm ci、pip --require-hashes、cargo --locked、go mod verify，禁用安装脚本，配置内部作用域注册表以防依赖混淆）；漏洞管理（osv-scanner、grype、trivy 按可达性与可利用性分级，用 VEX 记录“存在但不受影响”）；构建完整性（按 SLSA 级别推进，用 GitHub Actions 的 attest-build-provenance 生成签名溯源）；签名与验证（cosign 无密钥签名与带身份约束的 verify，并用 Kyverno 准入策略强制签名）；CI/CD 加固（最小权限令牌、OIDC、按 SHA 固定 action、分离构建与部署凭证）。
使用方式：在构建阶段生成 SBOM 并与制品一同保留；扫描并设置失败阈值；签名后必须执行验证，验证时绑定允许构建的工作流身份；在准入层拒绝未签名镜像；避免浮动的版本、CI 中使用 npm install、按标签固定 action、只签名不验证、只在构建时扫描、混用内部与公共索引等反模式。
限制：资料未提供该技能的具体安装方式、命令入口、支持的平台范围、收费或价格信息，暂未提供。