待验证50% 置信事实精确时间
GitHub 验证签名（attestation）允许用户通过 gh attestation verify 等命令验证某个 npm 包确实由指定的仓库和提交构建而来。
1
来源数
50%
置信度
长期有效
时效性
2026/10/14
首次发现
来源
涉及实体
相关事实
待验证GitHub 可信签名（Sigstore/GitHub Attestations）通过密码学背书对发布产物来源进行验证，是 npm 供应链安全加固的手段79% 相似待验证GitHub 会为通过其网页界面或特定集成创建的提交自动附加已验证签名，并在界面显示 'Verified' 徽章。76% 相似待验证GitHub 的可信发布（Trusted Publishing）结合 GPG 签名机制可以证明某个 npm 包确实由特定仓库的 CI/CD 流程发布76% 相似待验证该提交由项目维护者 jmorganca 签署并通过 GitHub 的 verified 验证签名发布73% 相似已验证该发布记录由 GitHub Actions 自动化流程完成，并经过 GitHub 官方验证签名（Verified）70% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/1023757API
curl https://kongchang.com/api/v1/knowledge/claims/1023757MCP
get_claim(id=1023757)