思政融入點
認識代碼來源管理在維護軟件供應鏈安全中的基礎性作用，樹立每一行代碼都可追溯的責任意識，理解軟件供應鏈安全對國家安全的戰略意義，培養維護核心技術自主可控的使命感，掌握構建多層次軟件供應鏈安全防護體系的方法論。
核心內容
本課程聚焦文件包含漏洞的安全防護，重點在于從軟件供應鏈安全的視角審視代碼來源管理的重要性。教師首先系統講解安全文件包含的規范實踐：采用絕對路徑以避免路徑遍歷風險、基于白名單的嚴格包含控制、對用戶輸入進行多重驗證、選擇具備安全特性的包含函數。每個安全實踐都通過對比演示展現其價值，讓學生直觀理解路徑控制對安全的關鍵作用。在“Web應用軟件供應鏈安全審計”實踐環節中，學生將對一個包含復雜依賴關系的模擬企業應用進行深度審計。該應用使用了多個第三方庫，學生需要建立完整的軟件物料清單，逐一審查每個庫的來源可信度、版本狀態、已知漏洞以及使用方式。審計完成后，學生需撰寫詳細的供應鏈安全風險報告，提出具體的加固建議。這一過程培養學生嚴謹細致的供應鏈安全意識和風險管理能力。深度拓展部分聚焦軟件供應鏈安全的國家戰略意義。教師深入剖析近年來震驚全球的軟件供應鏈攻擊事件。通過案例教學，學生將理解供應鏈攻擊的三大特征：攻擊鏈長隱蔽性強、影響范圍呈指數級擴散、防范難度遠超傳統攻擊。基于這一認知，課堂開展“多層次軟件供應鏈安全體系建設”戰略研討。通過系統性討論，學生將建立從代碼行到國家安全的宏觀視野，深刻理解軟件供應鏈安全不僅是技術問題，更是關乎國家發展和安全利益的戰略性課題，是必須筑牢的數字時代“基石工程”。
教學應用建議
1. 要求學生使用SCA（軟件成分分析）工具對真實開源項目進行分析，構建完整的軟件物料清單，識別供應鏈風險，并提出治理方案，掌握現代供應鏈安全分析工具與方法。
2. 模擬軟件供應鏈攻擊場景，讓學生分組扮演攻擊方和防御方，體驗供應鏈攻擊的實施與防御全過程，深刻理解攻擊鏈的隱蔽性與防御的全局性、系統性。
