已验证75% 置信事实精确时间
提交上的 GitHub 验证签名来自 GPG 密钥，其他用户可据此确认提交确实来自该账户且内容未被篡改。
3
来源数
75%
置信度
长期有效
时效性
2026/10/24
首次发现
来源
涉及实体
相关事实
已验证GPG签名是一种基于非对称加密的数字签名机制，在GitHub的发布流程中，维护者使用私钥对发布产物进行签名，用户可以通过公钥验证签名的有效性78% 相似待验证在 npm 生态中，GPG 签名验证无法阻止账号被盗，但能让下游消费者确认产物来自预期的构建流程（如 GitHub Actions），而非攻击者本地伪造的提交。77% 相似已验证该提交使用GPG密钥ID B5690EEEBB952194签名并通过验证。71% 相似待验证通过 GPG 密钥对发布包进行签名，可以让使用者验证该版本确实由合法构建流程产出，从而降低依赖投毒攻击风险68% 相似已验证GitHub 的 Vigilant Mode 会将仓库中所有未签名或签名无法验证的提交标记出来，标注为已验证、未验证或无签名68% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/1094163API
curl https://kongchang.com/api/v1/knowledge/claims/1094163MCP
get_claim(id=1094163)