在软件供应链安全领域，签名只解决“来源可信”与“内容未被篡改”两个问题，并不保证代码本身无害。