容器Golden Image治理从FROM latest到可信基础镜像摘要基础镜像是被大量应用复用的高杠杆供应链资产。一、为什么值得关注软件供应链的风险跨越源码、依赖、构建、发布和运行环境。只在发布前扫描一次无法证明交付链持续可信。团队需要将风险判断嵌入日常开发并保留可以复核的证据。二、核心技术与治理思路内部维护批准的基础镜像、固定Digest、最小化软件包、自动重建、生成SBOM和签名。源码与依赖安全检查可信构建SBOM与来源证明签名制品发布门禁三、落地示例在Dockerfile检查中阻断未经批准的FROM基础镜像修复后追踪并重建全部下游应用。建议采用以下策略样例作为讨论起点而不是直接视为通用强制标准supply_chain_policy:approved_registry:truedependency_review:requiredsbom:requiredprovenance:required_for_productionartifact_signature:required_for_productionexception:owner:requiredexpiry:required四、实施步骤盘点建立仓库、流水线、依赖、制品和部署环境的对应关系。试点选择一个高价值服务记录现状和风险。自动化将检查接入PR与CI并对高风险条件执行阻断。证据化保留扫描报告、审批记录、Digest、SBOM与来源证明。运营化每月复盘例外、误报、修复时长和覆盖率。五、常见误区只装工具不设责任人告警无人处置覆盖率无法代表安全性。只生成证据不验证签名和SBOM只有进入消费侧策略才形成闭环。一刀切阻断应先观察、再分级逐步进入强制模式。把评分当真相评分只能辅助排序不能替代业务上下文和专家判断。六、关键指标指标说明资产覆盖率纳入供应链台账的生产服务比例SBOM覆盖率可追溯组件清单的制品比例签名验证率部署前成功验证的制品比例高危整改时长从发现到完成处置的时间例外超期率过期未关闭的安全例外比例七、总结基础镜像是被大量应用复用的高杠杆供应链资产。真正有效的落地方式是把要求转成可执行的工程控制、可复核的证据和可持续的运营指标。