Go 官方网blog详细介绍了她们解决供应链管理进攻的改善对策。据悉，Go 的专用工具链和设计在每个环节均包括减少进攻风险性的考虑到。
全部构建都被“锁住 (locked)”
外界转变(例如公布依赖项的新版本)不容易危害 Go 构建。
与其它大部分软件包管理工具所采用的环境变量不一样，Go modules 沒有独立的管束目录和用以锁住特殊版本的 lock 文档。参加 Go 构建的每一个依赖项的版本彻底由主控制模块的go.mod文档决策。
从 Go 1.16 逐渐，以上实际操作默认设置实行，假如go.mod不详细，构建指令将不成功。唯一会更改go.mod的指令是 go get和 go mod tidy。这种指令通常不容易自启动或在 CI 中运作，因而这个对依赖关联树的更改通常全是有意为此，可在代码核查环节被发觉。
这针对安全系数十分关键，假如一个控制模块被侵入并公布了一个新的故意版本，那麼在确立升级该依赖项以前，所有人都不可能遭到危害，进而为绿色生态给予了核查变更和检验事情的時间。
版本內容绝不更改
保证第三方不容易危害构建的另一个重要特性是，module 版本的信息不能更改。由于要是毁坏依赖项的网络攻击可以传上去目前版本，她们就可以全自动毁坏全部依赖该依赖项的新项目。
这恰好是go.sum文档的主要用途。它包括有利于构建的每一个依赖项的数据加密hach目录。一样，不完善的go.sum会造成不正确，而且只有应用go get和go mod tidy对它开展改动。因而，对它的一切改动都是会随着客观的依赖关联更改。
VCS 是客观事实由来
大部分新项目在研发全过程都会应用版本自动控制系统 (VCS)，在别的环境中，这种新项目还必须上传入中心软件包库房 (例如 npm)。这代表着有两个账号很有可能会受到损坏，即 VCS 服务器和中心软件包库房。后面一种应用得越来越少，也更非常容易被忽略。这也代表着更非常容易在上传入库房的版本中掩藏故意代码，尤其是假如源代码做为提交的一部分被常规改动。
Go 沒有例如中心软件包库房账号这类物品。包的导进途径置入了可以直接从 VCSgo mod download 获得其控制模块需要的信息内容，在其中 VSC 上的标识界定了 module 版本。
仅构建代码，但不实行
Go 专用工具链有一个清晰的安全性设计方案总体目标：不论是获得或是构建代码，都不可能让该代码实行，无论代码是不是不会受到信赖或是故意。
这也是一种更有意义的风险性减轻对策，倘若你已经实行一个二进制文件或检测一个只采用一个子集合的包控制模块的依赖。例如，假如example.com/cmd/devtoolx在 macOS 上构建和实行，那麼对于 Windows 的依赖或example.com/cmd/othertool的依赖就不太可能伤害到你的设备。
在 Go 中，不以特殊构建给予代码的 module 针对构建沒有安全性危害。
“拷贝胜于依赖”
最终一项(也可能是最重要)供应链管理进攻风险性减轻对策也是科技含量最少的：Go 有回绝大中型依赖树的文化艺术，而且更喜欢拷贝而不是加上新的依赖。
这可以上溯到 Go 的一句俗语：“a little copying is better than a little dependency”(拷贝胜于依赖)。
Go module 对自身的“零依赖”标识十分骄傲。假如开发人员必须运用一个库，他会发觉这一库不容易使他依赖别的创作者和使用者的几十个 module。
这代表着只需少许依赖项就可以构建丰富多彩、繁杂的应用软件。终究无论专用工具多么好，它都没法清除器重代码所涉及到的风险性，因而最強的改善对策自始至终是只有一个小的依赖树。
文中转自OSCHINA
本文文章标题：Go 怎么看待供应链管理进攻?
文中详细地址：https://www.oschina.net/news/189878/golang-supply-chain