流水线同时具备三个特征：拥有部署到生产环境的权限、接触全部源代码和构建产物、通常是自动化运行且人工复核较少的环节。对攻击者来说，一次成功的流水线投毒可以绕过所有终端和边界防护，直接进入生产环境，并且以合法程序的形式存在。
常见问题是凭证以明文形式保存在流水线配置、代码仓库或构建脚本中。加固方向包括：把所有凭证迁移到集中管理的密钥系统，运行时按需注入；对凭证设置较短的有效期并自动轮换；按环境隔离凭证，测试环境不得持有生产凭据；对凭证的使用做审计，记录何时被哪个任务读取。
核心目标是保证部署的东西就是构建出来的东西。做法是在构建完成后对制品进行签名，并在部署前强制校验签名。同时记录构建来源信息，包括代码提交、构建任务和构建环境，形成可追溯链条。对于无法签名的场景，至少应对制品做哈希记录并在部署时比对。
流水线的权限应当按任务拆分。构建任务只需要读取代码和推送制品的权限，不需要生产数据库或云平台的广泛权限。部署任务可以拥有部署权限，但不应拥有修改基础设施权限的能力。不同分支和不同环境的任务应使用不同的身份，避免一条流水线拥有全域能力。
流水线配置本身应纳入代码评审，任何修改都需要人工确认。同时开启完整的审计日志，记录配置变更、凭证使用和制品发布行为，并对异常情况如非工作时间发布、配置被非预期账号修改保持告警。
流水线安全加固的本质是把信任建立在可验证的机制上，而不是依赖流程习惯。这项工作的投入不高，但对供应链攻击的阻断效果非常明显。
售后客服
企业微信
