应对假想中的恶意软件包攻击：一次软件供应链安全推演