安全小贴士：依赖供应链自查

现代项目的攻击面，很大一块在依赖树里：被劫持的包名、被投毒的传递依赖、泄露的令牌写进仓库。不必等到大厂中招才开始，小团队用一套最小流程就能明显降低风险。

锁文件与安装源

提交锁文件，持续集成使用冻结安装。镜像源要可信；尽量避免在无锁情况下直接装最新版。私有包走带鉴权的私有源，令牌用短期凭证并限制权限。开发机与流水线应使用同一锁文件，避免「我这边能装、线上不一致」。

审计与更新节奏

• 定期跑依赖审计，并人工判断：有的告警是开发依赖或不可达路径。
• 建立月度依赖升级窗口，而不是天天追最新；重大版本单独开分支跑测试。
• 关注公开漏洞库与安全公告，对核心框架设置订阅。

发布与持续集成防护

禁止在日志打印密钥；使用短期令牌取代长期访问令牌。分支保护与必需检查可减少直接推送投毒。审查新依赖：维护状态、下载量、安装脚本权限。对一次性脚本尤其要警惕「安装时联网下载未知二进制」。

WordPress 与 PHP 站点补充

主题与插件只从可信渠道更新；删除未使用的扩展；文件权限与管理员账户最小化。对公开导航站，评论与投稿入口更要限流与校验，避免成为挂马跳板。备份与回滚演练至少每季度做一次，出事时才不会手忙脚乱。

安全不是零风险，而是把偶然点背变成默认安全。先做到锁文件、审计、令牌与更新窗口四件套，再谈更高级的软件物料清单与签名验证。把检查项写进发布清单，比口头提醒可靠得多。

把上述原则写进团队检查清单，比只收藏文章更有效；风动导航也会持续用资讯与站点分类帮你把「看到」变成「用到」。