---
title: "信任库也是软件依赖"
canonical: "https://siyuanailab.com/curation/entry/4745ac5f211ddd24a8d3d6e5285d57db/"
dateModified: "2026-10-22"
datePublished: "2026-10-22"
---

[← 返回日报](https://siyuanailab.com/curation/#entry/4745ac5f211ddd24a8d3d6e5285d57db)

商业 / 中文摘编收录于 2026-10-22

# 信任库也是软件依赖

原始来源

- [nesbitt.io · Trust Stores Are Dependencies Too ↗](https://nesbitt.io/2026/10/21/trust-stores-are-dependencies-too.html)原文发布：2026/10/22 00:00:00（北京时间）

依据原文整理。译文生成未通过校验，请阅读原文。

六轴双评分均分：71.25 / 100

相关性 6 / 10 · 新信息 7.5 / 10 · 证据 7 / 10 · 推理 8 / 10 · 信息密度 8 / 10 · 行动价值 7 / 10

## 中文摘编

软件包内嵌的 CA 根证书可能绕过系统信任库更新，使已移除的根继续被部分程序信任。对近七千个软件包归档的扫描发现，29个软件包提供 CA bundle，其中26个含有仍在有效期内、但已被 Mozilla 移出其计划的根证书。不同程序对这些证书的加载方式各异；依赖清单和 SBOM 也可能只列包名与版本，未记录其中的根证书，增加了查找和修复受影响依赖的难度。

依据来源材料整理，保留事实、观点与适用范围的区别。  
完整上下文请阅读原始来源。

© 2026 思远 AI Labs