供应链安全 可视化实验室
用交互式 SVG 呈现 SBOM、SLSA、依赖漏洞、签名验证、可重现构建等软件供应链安全技术。八个模块，纯原生实现。
SBOM 软件物料清单
SBOM（Software Bill of Materials）枚举组件与依赖关系。CycloneDX 与 SPDX 是两大标准格式。点击依赖树节点查看组件元数据与传递依赖。
组件详情
点击依赖树中的任一组件查看其 SBOM 元数据：名称、版本、许可证、来源与已知漏洞状态。
SLSA 供应链等级框架
SLSA（Supply-chain Levels for Software Artifacts）分为 L1–L4 四级，逐级强化 Source、Build、Provenance 要求。点击各级查看其安全控制项。
SLSA 等级说明
点击各级别查看 Source / Build / Provenance 三大维度的具体要求。等级越高，构建过程越难以篡改，来源证明越完整。
依赖漏洞与 CVSS 评分
扫描依赖对照 CVE / OSV / GHSA 数据库，按 CVSS 评分划分严重性。点击漏洞条目查看详情，按严重性筛选。
漏洞详情
点击列表中的漏洞查看 CVE 编号、CVSS 向量、受影响版本与修复建议。建议优先修复高危及以上漏洞。
可重现构建与哈希验证
可重现构建（Reproducible Build）要求同一源码在不同环境产出比特一致的制品。对比两次构建的哈希，逐字节验证完整性。
构建对比
点击“运行构建”模拟两次独立构建。可重现时哈希完全一致；引入非确定性因素（时间戳、路径、随机种子）则产生差异。
Sigstore 镜像签名
Sigstore / Cosign 为制品签名，并写入 Rekor 透明日志。验证时同时校验签名与日志包含性，确保证制品来源可审计、不可抵赖。
签名与验证流程
点击“签名”逐步执行：Fulcio 颁发短时证书 → Cosign 用私钥签名 → Rekor 记录到透明日志。验证方校验签名有效且日志可查。
依赖混淆与 Typosquatting
攻击者注册与内部包同名或拼写相近的恶意包（Typosquatting），诱导开发者误装。对比包名，识别混淆攻击。
混淆检测
点击任一候选包查看其与目标包的编辑距离、注册时间、下载量。编辑距离小、注册晚、下载低 = 高风险混淆。
SCA 软件成分分析
软件成分分析（SCA）扫描制品中的开源组件与许可证，识别合规风险与过期依赖。查看成分构成与许可证分布。
许可证合规分析
饼图展示制品中各许可证占比。GPL 系列可能与专有代码冲突；未知许可证需人工审查。切换制品查看不同项目的成分构成。
供应链攻击案例复盘
SolarWinds 与 Log4j 是两起标志性供应链攻击。前者篡改构建产物植入后门，后者利用开源组件漏洞。沿时间线复盘攻击链。
攻击复盘
选择案例并沿时间线推进，观察攻击者如何侵入供应链、植入载荷、横向扩散，以及防御方如何发现与修补。