2020年SolarWinds攻击通过篡改软件构建管道，导致超过18000个组织被植入后门。为提高软件供应链安全，Google推出了SLSA框架，定义了四个安全等级。Sigstore提供无密钥签名，简化开发者的私钥管理。通过SPIFFE/SPIRE，CI/CD管道中的每个步骤都有独立身份，确保安全。SBOM用于验证组件依赖，增强零信任架构。

阿里巴巴的Dragonwell OpenJDK发行版具有安全稳定、性能效率、Java SE标准兼容、特色功能和新技术快速采用等五大优势。采用SLSA标准保证软件供应链安全，并与Eclipse Adoptium社区合作提供高质量的JDK发行版。未来将继续提升产品质量和合规等级。

KubeEdge项目于2023年1月18日发布的v1.13.0版本中，通过集成SLSA官方的GitHub构建项目slsa-github-generator，实现了端到端的从源码构建到发布流程的安全加固，保障用户获取到的二进制或容器镜像产物不被恶意篡改，达到CNCF社区首个达到SLSA L3等级的项目。SLSA GitHub generator通过OpenID Connect (OIDC)向外部服务(Sigstore)证明工作流的身份，获得sigstore社区2022年度徽章Best User Adopter。KubeEdge项目通过集成SLSA官方GitHub构建项目slsa-github-generator，实现了端到端的安全加固，保障用户获取的产物不被恶意篡改，达到SLSA L3等级，获得sigstore社区2022年度徽章。

Organizations are under intense pressure from governing bodies to attest to the fact that their software supply chains have not been tampered with. The industry has come together to create an...

Gitpod takes a central position in the software development lifecycle. As such, the security of our product is paramount; not only at runtime, but also as we build and deliver Gitpod.