本实验复刻三起真实软件供应链投毒事件：仿冒包crossenv、依赖混淆 @acme/logging、维护者账号劫持ua-parser-cn。学员分别扮演开发者、攻击者与防御者：先亲手复现三条攻击链，用 lockfile 与回传记录完成取证；再用 SBOM 对比、漏洞扫描器（osv-scanner / grype）与自研行为检测器排查；最后以私有源 scope 保留、ignore-scripts、来源白名单和组合防御落地安全防线，理解"漏洞库只能发现已知的漏洞，新写的恶意代码必须靠行为与来源分析"这一能力边界。

...全部展开