Cadeia de Suprimentos da Competição

Use esta habilidade apenas como uma especialização downstream depois que $ctf-sandbox-orchestrator já estiver ativa e tiver estabelecido suposições de sandbox, propriedade de nós e prioridades de evidências. Se isso ainda não aconteceu, retorne para $ctf-sandbox-orchestrator primeiro.

Use esta habilidade quando o desafio for realmente sobre proveniência, desvio de dependência, saída de compilação, fluxo de lançamento ou qual artefato de tempo de execução realmente foi enviado.

Responda em chinês simplificado, a menos que o usuário solicite explicitamente o inglês.

Início Rápido

1. Divida o problema em origem, resolução de dependências, compilação, empacotamento, publicação e consumo em tempo de execução.
2. Decida onde ocorre a primeira divergência entre o artefato pretendido e o artefato em tempo de execução.
3. Mantenha a proveniência como uma cadeia compacta, não um conjunto disperso de observações.
4. Reproduza o menor caminho de compilação ou empacotamento possível que ainda mostre o problema.
5. Separe a intenção registrada do que o pipeline realmente emitiu.

Fluxo de Trabalho

1. Rastrear Proveniência de Ponta a Ponta

• Mapeie checkout de origem, arquivos de bloqueio, busca de dependências, etapas de pré/pós-instalação, scripts de compilação, empacotamento, destino de publicação e consumidor em tempo de execução.
• Compare a versão declarada, a versão resolvida e o artefato enviado.
• Observe diferenças no registro, cache, espelho ou ambiente de CI.

2. Conciliar Tempo de Compilação e Tempo de Execução

• Compare manifestos com camadas de imagem, segredos montados, arquivos gerados e ganchos de tempo de execução.
• Identifique se a mutação decisiva ocorre na instalação de dependências, etapa de compilação, etapa de publicação ou inicialização em tempo de execução.

3. Relatar o Ponto de Quebra

• Declare o ponto mais antigo onde a proveniência diverge.
• Mantenha as evidências em uma cadeia curta da origem ao consumidor em tempo de execução.

Leia esta Referência

• Carregue references/supply-chain.md para a lista de verificação de proveniência, empacotamento de evidências e modos comuns de falha de pipeline.

O Que Preservar

• Versões de dependência declarada, dependência resolvida e artefato em tempo de execução
• Nomes de etapas de CI, pulls de registro, hashes de artefatos e camadas de imagem ou pacote
• O consumidor em tempo de execução que realmente aceita ou executa o artefato