build ดาวน์โหลดเครื่องมือจาก URL ทุกครั้งโดยไม่ตรวจ hash ควรปรับอย่างไร
กดาวน์โหลด dependency จากแหล่งสุ่มเมื่อ build ล้มเหลว
ขตรึงเวอร์ชัน ตรวจ checksum/signature และเก็บผ่านแหล่งที่ควบคุม
คอนุญาตเวอร์ชันล่าสุดเสมอโดยไม่ล็อกหรือทดสอบ
งใช้ secret ถาวรสิทธิ์สูงใน pipeline และแชร์ทุกโครงการ
เฉลยอธิบาย
ชิ้นงานภายนอกต้องพิสูจน์ความถูกต้องและทำซ้ำได้ แหล่งอ้างอิง: NIST SP 800-218 SSDF v1.1 https://csrc.nist.gov/pubs/sp/800/218/final; OWASP Top 10:2025 https://owasp.org/Top10/ และ OWASP ASVS 5.0 https://owasp.org/www-project-application-security-verification-standard/