连续性实用指南 / 03
维持依赖项
清晰可辨。
一本实用的连续性指南，用于识别重要的第三方组件并就组件发生变更、降级或不可用时的响应达成一致。它并非漏洞扫描或供应商担保。
用途: 在发布前使用，以使依赖范围、所有权、版本决策和回退假设可供审核。
方法 / 源限定
完成下一步 已知步骤。
- 列出面向客户路径的依赖：应用包、构建工具、外部 APIs、交付提供者和运维服务。为每个重要依赖指定一位可负责的所有者。
- 在发布证据中记录版本或服务配置。使用团队批准的锁定文件、溯源或供应商审查控制，而不是未经审查的替换。
- 为每个依赖，记录若其延迟或不可用时对客户可见的影响，以及经批准的优雅降级或上报路径（如存在）。
- 通过批准的渠道审阅供应商通知和观察到的行为；在事件期间不要未经授权更改依赖，变更应通过正常的审查发布流程进行。
验证 / 在依赖之前
检查每个重要依赖是否有所有者、可信记录来源和当前的发布参考。
使用团队批准的工具，将计划发布的依赖集合与已审查的锁定文件或平台记录进行比对。
针对单一依赖中断进行桌面演练：明确谁负责决策、哪些客户行为是可接受的以及何时升级处理。
权威 / 审查
来源说明， 而非借来的确定性。
规划依据：OWASP 软件供应链指导
- OWASP — Software Supply Chain Security Cheat Sheet ↗OWASP 建议进行依赖清单、在适当情况下自动生成 SBOM、监控、版本固定、构建工具清单和溯源控制。
上下文 / 保持交接连接
作者： SIU Enablement 编辑草稿；基于来源的操作性指导。 审查者： 工程、平台、安全和供应商所有者审阅重要依赖清单。 重新验证： 每季度以及在依赖、构建、供应商或回退模式变更前重新验证。