CẢNH BÁO THỰC TẾ Một package có tên quen thuộc hoặc được tải thành công không phải là bằng chứng an toàn. Ứng dụng hiện đại phụ thuộc vào thư viện gián tiếp, action CI, image container, plugin build và công cụ phát hành. Một thành phần lỗi thời, bị chiếm quyền hoặc không còn được duy trì có thể đưa rủi ro vào hệ thống dù mã nghiệp vụ không thay đổi. Các lỗi nghiêm trọng thường gặp là không biết phiên bản đang chạy ở production, dùng version range quá rộng, chạy cập nhật trực tiếp trên máy chủ, cài package từ nguồn không chính thức và giữ dependency không còn dùng. Cách triển khai thực tế: 1. Commit lock file và tái tạo build có kiểm soát trong CI. 2. Tạo SBOM hoặc inventory dependency/image cho mỗi bản phát hành, gắn với commit và artifact deploy. 3. Dùng SCA để phát hiện CVE, license và package không được duy trì; ưu tiên theo mức phơi bày và bằng chứng khai thác thực tế. 4. Chỉ lấy dependency từ registry đáng tin cậy; ưu tiên artifact có chữ ký hoặc provenance khi hệ sinh thái hỗ trợ. 5. Kiểm thử cập nhật, có rollback và loại bỏ dependency không sử dụng. Cảnh báo dependency phải dẫn đến quyết định rõ ràng: vá, thay thế, giảm thiểu tạm thời hoặc chấp nhận rủi ro có thời hạn và người phê duyệt. Tham khảo: OWASP Top 10 – Vulnerable and Outdated Components; Software and Data Integrity Failures.