供应链攻击（Supply Chain Attack）是一种通过入侵软件供应链中的薄弱环节来间接攻击最终目标的高级网络安全威胁。攻击者不直接攻击防御严密的目标系统，而是选择篡改其信任和依赖的第三方组件、库或服务，从而绕过目标的安全防线实现入侵。 在技术层面，供应链攻击可能发生在软件开发和分发的任何环节：源代码仓库被入侵注入后门、CI/CD 构建系统被篡改、开源依赖包被恶意接管（如 npm 包投毒）、CDN 分发节点被劫持替换文件、甚至硬件固件在制造环节被植入恶意代码。 短链接服务面临的供应链安全风险尤为突出：前端依赖的第三方 JavaScript 库被篡改可能导致用户数据泄露；DNS 解析服务商被攻击可能使短链接域名解析到恶意 IP；CDN 节点被入侵可能篡改重定向逻辑。一旦短链接服务的供应链被攻破，所有通过该服务中转的链接流量都可能被劫持到钓鱼或恶意软件分发站点，影响范围极其广泛。 防御措施应当多层次部署：对所有第三方依赖实施版本锁定和完整性校验（如 npm 的 lockfile 和 SRI 子资源完整性）；建立完整的软件物料清单（SBOM）并持续监控已知漏洞；实施最小权限原则限制各组件的访问范围；部署运行时完整性监控检测异常行为。