XZ-Utils 后门事件为整个行业敲响警钟。本文梳理近年典型软件供应链攻击手法，并提出“可信构建 + 依赖治理”的防御体系与中小企业的务实起点。

软件物料清单（SBOM）已成为供应链透明化的核心抓手。本文结合 CycloneDX 与 SPDX 标准，分享企业从生成、管理到与漏洞联动的落地路径。

11月21日，周六来聊“用Dependency Track管理软件供应链安全”。