签名只证明提交由谁产生，并不证明代码安全，仍需配合锁定文件校验与依赖审计。