本文针对星载（onboard）卫星飞行系统中日益广泛使用的开源软件（OSS）开展了一次实证性安全分析。研究背景在于：现代卫星任务为加速研发，大量采用可复用框架、共享库与社区维护组件，但这些组件被引入到补丁更新代价极高、失效可能直接影响任务运行的航天环境中，从而把常规软件供应链风险带入了高可靠性领域。作者收集了 126 个公开卫星相关代码仓库，构建并执行了一条多工具组合的自动化分析流水线，涵盖四个环节：(1) 生成软件物料清单（SBOM）以识别组件构成；(2) 软件成分分析（SCA）以匹配已知漏洞与依赖风险；(3) 静态应用安全测试（SAST）扫描自研源码；(4) 基础设施即代码（IaC）配置审查与密钥/凭据扫描。为控制噪声，作者又施加了基于规则的清洗、面向星载范围的过滤以及基于指纹的去重，最终得到包含 2,827 条安全发现的数据集。结果表明：安全发现分布广泛但高度不均衡；中等严重度占 49%，中等及以上合计占 72%。作者采用基于 CWE 的分类体系，把全部发现归入八个弱点族，其中内存安全与代码质量类占比最高，其次是输入验证与注入类。从代码归属看，81.4% 的发现位于项目自研代码中，外部依赖代码仍是不可忽视的来源。作者明确强调，这些发现并不证明针对具体任务的真实可利用性，其价值在于对开源星载软件生态中反复出现的安全模式给出实证刻画，量化其普遍程度，并帮助任务方确定最应优先投入安全审查的领域。该工作适合航天软件工程、供应链安全与嵌入式安全方向的读者参考。

软件供应链安全已成为现代软件工程中的核心关注点，因为现代软件对第三方依赖有着广泛依赖，且攻击面持续扩大。然而，现有的基于量化测量的分析方法和漏洞管理手段往往碎片化，并局限于特定生态系统（如npm、PyPI等），难以在跨环境之间提供可比较的风险评估。针对这一缺口，本文提出一个结构化的研究计划。首先，作者计划通过“系统化知识”（SoK）方法对当前软件供应链安全研究进行综合分析，梳理已有成果，识别关键知识空白，尤其是在依赖建模和漏洞传播分析中，对传递依赖（transitive dependencies）及其实际可利用性的处理存在显著不足。其次，基于这些洞察，论文主张构建统一的测量视角，以一致的方式表示和分析跨生态系统的依赖结构，从而支持可复现、可比对的安全测量。此外，论文重点指出AI辅助软件开发带来的新兴挑战：编码大语言模型（LLM）参与代码生成可能引入传统SCA工具无法捕获的新依赖模式，例如不稳定、语义模糊或自动生成的依赖引用。这些变化要求重新思考依赖建模方式，以适应当前软件生成实践的演变，并评估其对软件安全的长期结构性影响。本文的主要贡献在于提出研究议程，为下一代供应链安全测量与SCA工具设计提供方向性指导。适合安全研究人员、SCA工具开发者和软件供应链治理从业者阅读。