软件供应链安全日益成为全球软件开发界关注的焦点，随着技术的发展和安全威胁的不断演变，保障软件来源和构建过程的可信度变得尤为重要。SLSA（Supply-chain Levels for Software Artifacts）作为业界领先的软件供应链安全规范，自诞生起便致力于为开发者和组织提供全面且实用的安全框架。2025年6月20日，SLSA社区正式发布了SLSA v1.2 的发布候选版本（Release Candidate 1，简称RC1），标志着这一标准迈入了新的发展阶段。本文将深入剖析此次更新的核心内容，揭示其对软件供应链安全管理的深远影响。 SLSA v1.2 RC1的发布，不仅延续了此前版本的成功经验，还针对软件开发生命周期的关键环节进行了重大改进和扩展。最引人注目的变化是引入了全新的“源代码轨道”（Source Track）概念，这一轨道独立于之前的“构建轨道”（Build Track），其目的是更全面地规范和保障软件源代码管理的安全与完整性。
回顾SLSA的发展历程，早期版本如v0.1虽然涵盖了部分源代码相关的安全要求，但在具体细化和覆盖范围上有所不足，主要聚焦于构建过程的安全加固。随着技术背景的变化及供应链攻击事件的频发，SLSA项目组认识到必须将源代码管理提升至与构建环节同等的重要性。由此，SLSA v1.2对该领域提出了系统的安全要求，涵盖了源代码版本控制、访问控制、审计追踪以及变更审核等关键方面。 具体来说，源代码轨道的设立有助于确保开发人员在整个软件开发周期中的安全行为与流程符合最高标准。通过明确要求代码仓库的安全配置、分支管理、合并策略以及多因素身份验证，SLSA v1.2极大地提升了开发环境的风险防范能力。同时，规范强化了对源代码变更的溯源能力，确保每一次代码提交都有清晰的责任归属和验证过程，为后续漏洞排查和安全审计提供坚实基础。
此外，SLSA v1.2在继承并兼容v1.1的同时，优化了构建轨道的部分机制。 build track的内容更丰满，强调自动化、可复现性和可验证性的建设。通过严格约束构建环境和流程，防止恶意代码注入和依赖污染，保障交付产物的安全信任链条。对CI/CD管道的要求提升也让持续集成和持续交付过程中的安全控制更加细致，从而进一步强化整个软件生命周期的防护壁垒。 SLSA社区在发布公告中强调，此次版本的规范草案进入为期约四周的公众审查期，社区成员和行业专家被邀请对v1.2 RC1提出宝贵意见和建议，计划于7月18日前收集并整理反馈。如果没有重大问题，该候选版本将升级为正式版本1.2，取代现行的1.1标准。
否则，社区将根据反馈继续推动修正，直至保证规范的完善和周全。这个公开透明、开放协作的开发流程，体现了SLSA作为跨行业合作项目的包容性与专业性，同时也彰显了其规范质量的高标准。 软件供应链攻击以其隐蔽性和连锁效应，一直是行业内难以彻底根除的安全威胁。近期多起因源代码管理不善或构建过程漏洞引发的供应链安全事故，让整个行业警醒。SLSA v1.2通过引入源代码轨道等创新措施，有效填补了之前标准的空白，有望成为行业采纳和推广的最佳实践。无论是开源项目还是企业内部软件系统，遵循SLSA v1.2规范有助于加强对内部与外部风险的防范，实现更高水平的信任保障。
对于开发者和安全从业者而言，了解并应用新的源代码轨道要求意味着需要重新审视现有的源代码管理策略和工具，强化代码库的访问控制和修改审计，规范代码合并流程，同时建立完善的身份验证机制以阻断未经授权的操作。配合构建轨道的强化措施，整个软件生产链条的安全性将被系统提升。 在未来，SLSA将继续沿用社区规范的生命周期管理方式，不断吸纳行业经验和反馈意见，推动标准的演进和优化。此次1.2版本的发布候选版本既是技术上的大跨步，也是社区协作精神的体现。 Linux基金会作为SLSA项目的托管单位，秉持开放共享原则，鼓励全球开发者和企业共同参与这一源自行业共识的安全标准建设。与此同时，SLSA项目亦为推动软件供应链安全生态系统的成熟贡献了强有力的支撑，通过技术文档、工具链集成和推广活动，帮助更多团队达成安全目标。
总结而言，SLSA v1.2 RC1的发布不仅昭示了软件供应链安全治理的新趋势，更为行业建立了一个更加完整和严谨的安全框架。源代码轨道的引入，使安全覆盖从源头管理延伸至构建及部署，形成了多层次、多维度的防护策略。不论是提升代码透明度、强化身份认证，还是实现构建过程的可验证性，SLSA v1.2都为软件开发带来了实质性的安全提升。在即将面临的审查期中，社区的积极参与将为标准的最终定稿注入智慧和力量，推动软件开发进程朝着更加安全、可信赖的方向前进。 随着SLSA标准的逐步完善和广泛应用，我们有理由相信，软件供应链的安全风险将得到更有效的管控，软件产业的健康发展和用户利益保护也将进一步强化。未来，在全球数字化转型背景下，SLSA和类似的安全规范将成为保障软件生态稳定发展的重要基石。
业界各方应密切关注SLSA最新动态，积极参与规范建设与实践落地，共同推动软件供应链的安全革新，共筑数字信任的新高度。
