rust-guide依赖安全Cargo.lock锁定第三方Crate5步预防供应链攻击【免费下载链接】rust-guideRecommendations for secure applications development with Rust项目地址: https://gitcode.com/gh_mirrors/ru/rust-guiderust-guide是法国国家网络安全局ANSSI发布的 Rust 安全开发指南其依赖安全章节src/en/libraries.md 与 src/en/devenv.md给出了核心建议用Cargo.lock锁定每一个第三方 Crate 的版本与校验和从源头预防供应链攻击。下面用 5 个步骤帮你快速落地这套官方最佳实践。为什么 Cargo.lock 是供应链安全的第一道防线供应链攻击的核心手段是在你不知情的情况下替换或篡改你引入的第三方依赖。Rust 的包管理器 Cargo 对此内置了完整的防护机制编译前自动校验Cargo 会比对依赖的校验和checksum不一致则直接编译失败恶意篡改无法进入构建产物首次信任TOFU策略首次构建时生成Cargo.lock记录所有依赖的精确版本与校验和之后所有构建都严格复现同一份依赖树连 Git 依赖也被锁定即使依赖来自 Git 仓库且未指定 commit首次拉取的 commit 也会被写入Cargo.lock后续构建始终使用同一 commit。官方示例中的Cargo.lock文件可以直接参考examples/Cargo.lock插件模块同样保留了锁文件mdbook-plugins/Cargo.lock。5 步预防 Rust 供应链攻击第 1 步生成并核对 Cargo.lock锁定依赖版本首次构建时 Cargo 会自动生成Cargo.lock也可以手动执行cargo generate-lockfile提前生成。在 src/en/devenv.md 中可以看到一旦校验和不匹配Cargo 会明确报错并中止编译error: checksum for ... changed between lock files这意味着任何对依赖的悄悄替换都会在构建阶段被拦下。✅第 2 步把 Cargo.lock 提交到版本控制官方强制规则这是 rust-guide 中的强制规则DENV-CARGO-LOCKCargo.lock 文件必须纳入版本控制系统。注意这一点没有例外——即使是库library项目也不应忽略锁文件否则每次构建的依赖树都可能漂移给依赖投毒留下窗口。第 3 步逐一审查直接第三方依赖并留档规则LIBS-VETTING-DIRECT要求每一个直接第三方依赖都必须经过充分验证且验证过程必须留痕对传递依赖transitive dependencies也推荐逐一审验规则LIBS-VETTING-TRANSITIVE。审查清单可以很简单项目活跃度与维护者背景近期安全记录是否引入不必要的权限或危险代码依赖声明写在Cargo.toml中官方示例见 mdbook-plugins/mdbook-extensions/Cargo.toml 等项目清单文件。第 4 步用 cargo-outdated 定期检查过时依赖规则LIBS-OUTDATED要求使用cargo-outdated工具检查依赖版本状态它会列出当前版本、最新的兼容版本与最新通用版本。每个过时依赖要么升级要么书面说明保留该版本的理由——这一步能有效避免多年前的旧版本带着已知漏洞留在项目里。第 5 步用 cargo-audit 扫描已知安全漏洞规则LIBS-AUDIT要求使用cargo-audit工具对照 RustSec 安全通告数据库检查依赖中的已知漏洞。建议把它加入 CI 流程让依赖体检成为每次提交的自动关卡而不是偶尔想起来才做。相关文件与延伸阅读文件说明src/en/devenv.mdCargo 依赖校验机制、Cargo.lock 强制规则src/en/libraries.md依赖来源、依赖审查与验证工具章节examples/Cargo.lock示例项目的依赖锁文件examples/Cargo.toml依赖声明示例清单CONTRIBUTING.md参与指南维护的贡献说明一句话总结Cargo.lock锁定 版本控制 依赖审查 版本体检 漏洞扫描五步齐备你的 Rust 项目供应链风险将大幅降低。【免费下载链接】rust-guideRecommendations for secure applications development with Rust项目地址: https://gitcode.com/gh_mirrors/ru/rust-guide创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考