SCA

背景：我做了 3 年安全加固，最近给一套 Spring Boot 3.1 服务做镜像安全加固，基础镜像从 openjdk:8-jdk 换成了 eclipse-temurin:17-jre（slim 倾向，单镜像约 480MB），K8s 1.

背景：我负责一套 8 节点的水平扩展 Spring Boot 3.1 服务，Maven 多模块，依赖里混着不少内部二方包（自托管 Nexus），走 CI/CD 发布。安全团队要求"上线前 SCA 卡点"，但过去半年这个卡点基本被掏空，我想系