1. 课程导论：镜像供应链信任边界、发布窗口与基线偏差回归检查
在云原生与容器化交付成为主流的今天，镜像供应链的安全已从“构建时扫描”扩展到涵盖构建、分发、部署、运行时审计的全链路信任管理。本章作为课程开篇，将建立三个核心概念：信任边界、发布窗口与基线偏差回归检查，为后续章节的深度技术实践奠定理论基础。
1.1 镜像供应链信任边界
信任边界（Trust Boundary）是指镜像从源码到生产运行所经过的、可被独立验证的安全域。每个边界内，参与者、工具链和策略构成一个信任单元；跨边界传递时，必须通过签名、摘要校验、策略断言等方式证明镜像未被篡改或引入非预期组件。
| 信任边界阶段 | 核心信任锚点 | 常见风险 |
|---|---|---|
| 开发边界 | 开发者签名、代码仓库 GPG | 恶意提交、密钥泄露 |
| 构建边界 | CI/CD 流水线身份、构建环境隔离 | 依赖投毒、构建缓存污染 |
| 制品边界 | 镜像签名（Notation/Cosign）、SBOM | 镜像篡改、中间人替换 |
| 部署边界 | 策略引擎（OPA/Kyverno）、准入控制器 | 绕过策略、运行时逃逸 |
关键认知：信任边界不是静态的。每次镜像重新构建、依赖升级或基础镜像切换，都会导致信任边界发生偏移。课程后续将重点讨论如何检测并应对这种偏移。
1.2 发布窗口的定义与特征
发布窗口（Release Window）是指镜像从构建完成到正式部署至生产环境之间的时间区间。在这个窗口内，安全团队需要完成：漏洞扫描、签名验证、策略评估、合规审计等检查。窗口的长度直接影响安全深度与交付速度之间的平衡。
- 固定窗口：例如“构建后 4 小时内必须完成全部安全准入检查”，适用于金融、医疗等强合规场景。
- 动态窗口：基于风险评分自动调整，低风险镜像可缩短窗口，高风险镜像需延长或阻断。
- 零窗口：仅允许通过预认证的镜像直接部署，适用于高度自动化的 DevSecOps 成熟团队。
实践建议：在课程实验环境中，我们将默认使用 2 小时固定窗口作为基线。后续章节会演示如何通过基线偏差回归检查，将窗口从固定模式平滑迁移至动态模式。
1.3 基线偏差回归检查的重要性
基线偏差回归检查（Baseline Deviation Regression Check）是一种持续验证机制：它记录每次发布窗口内镜像供应链的“安全基线状态”，并在后续发布中自动比对当前状态与基线之间的偏差。一旦发现回归（例如：新增高危漏洞、签名链断裂、SBOM 组件异常变更），立即触发告警或阻断。
该检查解决了三个核心痛点：
- 遗漏回归：传统扫描只关注“当前是否安全”，忽略“相比上次是否变差”。
- 噪声淹没：无基线比对时，每次扫描结果中的重复告警会掩盖真正的新风险。
- 审计断层：无法追溯某个安全属性是在哪个发布窗口中被引入或修复的。
常见误区：基线偏差回归检查 ≠ 重复扫描。它要求每次检查都携带“上一次通过窗口的基线快照”，并执行结构化差异分析，而非简单对比漏洞数量。
1.4 核心概念关系图
下图展示了信任边界、发布窗口与基线偏差回归检查之间的逻辑关系：
1.5 课程知识体系总览
下表概括了本课程 30 章的核心知识模块及其与本章三个概念的对应关系：
| 模块 | 章节范围 | 关联概念 | 关键产出 |
|---|---|---|---|
| 基础概念与工具链 | 第 1–5 章 | 信任边界、发布窗口 | 基线快照格式定义、检查框架选型 |
| 基线采集与存储 | 第 6–12 章 | 基线偏差回归检查 | 基线数据库、差异计算引擎 |
| 回归检测算法 | 第 13–20 章 | 基线偏差回归检查 | 漏洞回归、签名回归、SBOM 回归检测器 |
| 策略与自动化 | 第 21–26 章 | 发布窗口、信任边界 | OPA 策略、准入控制器集成 |
| 实战与案例 | 第 27–30 章 | 全概念综合 | 端到端流水线、故障演练 |
学习路径提示：本章是后续所有章节的概念基石。建议在进入第 2 章之前，确保能用自己的语言解释“信任边界偏移”与“基线回归”之间的关系。课程实验环境将在第 3 章搭建，届时你将亲手创建第一个基线快照。