待验证50% 置信事实精确时间
PyPI 支持 Sigstore 签名的可信发布（Trusted Publishing），让使用者可以验证分发包确实由项目维护者的 CI 流水线产出。
1
来源数
50%
置信度
长期有效
时效性
2026/10/21
首次发现
来源
LiteLLM 1.107.0 遭植入窃密后门：供应链攻击警示
hackernewshackernews2026/10/21
涉及实体
相关事实
待验证Sigstore将签名记录写入公开的透明日志Rekor，使任何人可验证包是否由声称的维护者在特定CI环境中构建发布64% 相似待验证PKCE 最初为无法安全存储客户端密钥的公共客户端设计，现已被 OAuth 2.1 草案推荐为所有客户端的默认实践62% 相似待验证Trilli的电子签名功能采用PKCS#7密封文档来保证文档完整性和签名真实性62% 相似已验证PKCE是OAuth 2.1中针对公开客户端设计的安全扩展，客户端提交代码验证器的哈希值，换取令牌时须附上原始验证器，即便授权码被截获也无法兑换令牌60% 相似待验证某些提供商强制要求PKCE（Proof Key for Code Exchange），而另一些将其作为可选项60% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/1081550API
curl https://kongchang.com/api/v1/knowledge/claims/1081550MCP
get_claim(id=1081550)