思政融入點
認識代碼來源管理在維護軟件供應鏈安全中的基礎性作用，樹立每一行代碼都可追溯的責任意識，理解軟件供應鏈安全對國家安全的戰(zhàn)略意義，培養(yǎng)維護核心技術自主可控的使命感，掌握構建多層次軟件供應鏈安全防護體系的方法論。
核心內(nèi)容
本課程聚焦文件包含漏洞的安全防護，重點在于從軟件供應鏈安全的視角審視代碼來源管理的重要性。教師首先系統(tǒng)講解安全文件包含的規(guī)范實踐：采用絕對路徑以避免路徑遍歷風險、基于白名單的嚴格包含控制、對用戶輸入進行多重驗證、選擇具備安全特性的包含函數(shù)。每個安全實踐都通過對比演示展現(xiàn)其價值，讓學生直觀理解路徑控制對安全的關鍵作用。在“Web應用軟件供應鏈安全審計”實踐環(huán)節(jié)中，學生將對一個包含復雜依賴關系的模擬企業(yè)應用進行深度審計。該應用使用了多個第三方庫，學生需要建立完整的軟件物料清單，逐一審查每個庫的來源可信度、版本狀態(tài)、已知漏洞以及使用方式。審計完成后，學生需撰寫詳細的供應鏈安全風險報告，提出具體的加固建議。這一過程培養(yǎng)學生嚴謹細致的供應鏈安全意識和風險管理能力。深度拓展部分聚焦軟件供應鏈安全的國家戰(zhàn)略意義。教師深入剖析近年來震驚全球的軟件供應鏈攻擊事件。通過案例教學，學生將理解供應鏈攻擊的三大特征：攻擊鏈長隱蔽性強、影響范圍呈指數(shù)級擴散、防范難度遠超傳統(tǒng)攻擊?；谶@一認知，課堂開展“多層次軟件供應鏈安全體系建設”戰(zhàn)略研討。通過系統(tǒng)性討論，學生將建立從代碼行到國家安全的宏觀視野，深刻理解軟件供應鏈安全不僅是技術問題，更是關乎國家發(fā)展和安全利益的戰(zhàn)略性課題，是必須筑牢的數(shù)字時代“基石工程”。
教學應用建議
1. 要求學生使用SCA（軟件成分分析）工具對真實開源項目進行分析，構建完整的軟件物料清單，識別供應鏈風險，并提出治理方案，掌握現(xiàn)代供應鏈安全分析工具與方法。
2. 模擬軟件供應鏈攻擊場景，讓學生分組扮演攻擊方和防御方，體驗供應鏈攻擊的實施與防御全過程，深刻理解攻擊鏈的隱蔽性與防御的全局性、系統(tǒng)性。
