使用带哈希校验的锁定文件、为关键依赖设置内部审计与延迟引入策略、对新增依赖变更做人工或自动化审查，可以降低供应链投毒风险。