在 npm 生态中，GPG 签名常与 provenance attestation 结合，用来证明包版本由指定的 CI 流水线从特定仓库和提交构建产出，降低依赖被替换或投毒的风险。