以为仓库没保存就丢了？95.1%其实留有旧快照

当源码仓库关闭、改名或链接失效，SBOM 中记录的依赖版本还能否被验证与复现？本期深度解析 ecosyste.ms 创建者 Andrew Nesbitt 的实践：借助 Software Heritage Identifiers（SWHID），让代码以内容哈希获得独立于托管平台的长期身份，并可在归档中重新取回、核对。 文章不仅介绍 SWHID 的机制，还展示了 swh-git、浏览器端目录树校验工具及一次覆盖近万关键包的真实审计。结果颇具启发性：不少“未归档”的仓库并非真正丢失，95.1% 仍能找到较早的历史快照。欢迎结合本期解读阅读原文，理解软件供应链可验证性的边界与路径。 原文链接： https://nesbitt.io/2026/10/01/software-heritage-identifiers.html 原文标题：Software Heritage Identifiers 主要内容： • SWHID 以代码内容而非仓库网址作为身份基础，可标识文件、目录、提交、发布标签与仓库快照。 • Software Heritage 已归档数百亿级代码对象；即使原始仓库 404，历史代码仍可能通过归档重新获取。 • 作者开发 swh-git 等工具，使 Git 可直接从 Software Heritage 的归档快照克隆历史代码。 • 对约 9,800 个关键包的审计显示，当前默认分支提交的归档覆盖率为 71.3%，发布标签对应提交为 89.9%；追查旧网址后，95.1% 的缺失案例存在更早快照。 • 发布包、解包后的目录树和源码仓库提交并不必然相同；SWHID 能精确证明“内容是什么”，却不能单靠标签证明发布包的构建来源。 推荐理由： 这是一篇把“代码保存”从抽象愿景落到工具、数据和审计方法的文章。它揭示了软件供应链长期可信赖的关键：不仅要保留代码，更要建立包版本、实际发布内容与精确源码之间可复核的关联。对于开源维护者、安全研究者、依赖治理与合规团队而言，尤其值得深入阅读原文。 --- 「Andrej Karpathy的RSS订阅清单」为您精选全球最前沿的AI技术博客文章，深度剖析技术背后的核心洞察。 由 voieech.com 提供技术支持。