Page 86 - 《软件学报》2026年第7期

胡帅 等: 产业研发视角下的开源软件供应链攻击问题研究 2771

感染、经产业研发环节传播、到最终用户爆发的全链路关键问题, 为系统性地理解与应对此类威胁提供了整体性
视角, 对本文的体系化展开起到了纲领性指导作用.

3 产业研发流程和开源软件供应链攻击

3.1 产业研发流程和开源软件供应链的协同演化
1990 年, IEEE 在《软件工程术语》标准中将软件工程定义为“运用系统的、规范的、可度量的方法来开发、
运行和维护软件”, 明确突出了软件工程活动的科学性与工程化特征. 基于该定义所蕴含的核心理念, 学术界与工
业界普遍将过程、方法、工具归纳为软件工程的 3 大基本构成要素. 过去 30 年间, 随着软件工程理论与实践的持
续演进, 产业界在研发范式、工具平台及协同机制等方面经历了多次深刻转型. 从早期的瀑布模型, 到强调快速迭
代的敏捷模型, 再到自动化交付的 CI/CD, 直至当下以平台化与云原生为特征的 DevOps 模式, 软件工程持续应对
数字化时代下高频变更与大规模协同的挑战. 在此变革进程中, 开源软件作为关键推动力量, 在方法论与工具体系
层面深度融合, 重塑了产业研发体系的演化路径. 本文将结合典型演化阶段, 剖析开源软件对产业研发范式演进与
效率跃升的核心驱动作用.
现代软件工程实践的演进历程中, 敏捷开发 (Agile)、CI/CD 以及 DevOps 等关键范式, 共同构成了产业级研
发效能提升的核心支柱, 呈现出一条从方法论创新到工程化实践的清晰演进路径. Agile 作为一种文化范式与项目
管理方法论, 其核心在于倡导迭代式增量开发、紧密的跨职能协作与持续的用户反馈循环, 旨在通过“小步快跑”的
方式显著提升团队响应需求变化的灵活性与软件交付速度. 随着敏捷理念的广泛采纳, 其对频繁、可靠集成与交
付的内在需求, 直接催生了 CI 的工程实践. CI 通过引入高度自动化的构建、测试与验证流程, 倡导开发者频繁地
提交代码变更、快速集成, 从而在早期发现集成错误, 保障主干代码的持续可用性与系统稳定性. 在 CI 成功建立
代码集成信心的基础上, CD 进一步将自动化边界延伸至软件发布的最后阶段. CD 实践致力于确保任何通过验证
的代码变更都能以高效、安全且可重复的方式, 随时准备或直接部署到预发布乃至生产环境, 显著缩短了从代码
提交到价值交付的周期. 作为这一演进路径的集大成者以及更高层次的整合范式, DevOps 超越了单纯的技术实践
范畴, 旨在系统性地打破传统开发与运维职能间的壁垒. 它通过深度融合敏捷协作理念、CI/CD 自动化流水线以
及共享的工具链与平台化能力, 构建起端到端 (从代码提交到生产运维) 的一体化协同文化与技术生态, 最终实现
软件交付生命周期的高度自动化、可观测性与闭环反馈优化.
开源软件供应链的蓬勃兴起, 不仅深刻影响了现代软件工程范式的演进轨迹, 更与敏捷开发、CI/CD 实践及
DevOps 文化形成了深度的双向塑造与协同进化关系, 共同推动了软件研发效能质的飞跃. 首先, 开源组件的大规
模复用直接加速了敏捷开发的迭代效率. 开源社区提供的丰富模块化资源 (如前端框架 Vue.js、容器引擎 Docker)
使开发团队能够快速集成成熟功能模块, 避免重复开发 [38] . 这种“按需取用”的特性与敏捷模型强调的“小步快跑、
快速响应”高度契合, 推动开发周期从数月缩短至数周. 同时, 开源工具链 (如 Git、Jenkins) 为 CI 提供了技术基础.
开发者通过版本控制系统实现分布式协作, 而自动化构建、测试工具则保障了代码频繁集成的稳定性, 使敏捷迭
代具备可落地的工程支撑. 例如, 开源社区推动的 CI/CD 实践 (如 GitHub 的 Pull Request 机制) 将代码审查、自动
化测试嵌入开发流程, 显著提升了代码质量与交付速度. 其次, 开源生态的协作机制与安全需求进一步催化了 DevOps
的成熟演化. 一方面, 开源社区倡导的透明协作文化与 DevOps 的跨职能协同理念深度融合. 社区通过文档共享、
在线论坛促进开发 (Dev)、测试 (test)、运维 (Ops) 角色的信息同步, 而 DevOps 工具链 (如 Kubernetes、 Prometheus)
则依托开源技术实现部署自动化和环境隔离, 缩短了从代码提交到生产上线的路径. 另一方面, 开源软件供应链的
依赖复杂性与安全风险推动催生了“安全左移”理念在 DevSecOps 中的落地实践. 软件物料清单 (software bill of
materials, SBOM) [39] 和开源漏洞扫描工具被集成至 CI/CD 流水线, 实现开源组件的持续安全检测与合规管理.
总的来看, 开源软件供应链与产业研发范式之间呈现出“工具与文化供给”与“资源与需求引领”的双向赋能格
局: 开源软件供应链为敏捷开发模型到 DevOps 的进阶提供了工具链和文化基础, 而产业研发通过参与开源社区
建设、开源项目研发, 将自身的需求实现在开源项目中并推广使用, 从而推动开源产业持续发展. 二者协同推动软