待验证50% 置信事实精确时间
结合 npm 包的 provenance（来源证明）机制，依赖方可以追溯某个发布版本由哪个仓库、哪次提交、在何种 CI 流程中产出。
1
来源数
50%
置信度
长期有效
时效性
2026/11/2
首次发现
来源
涉及实体
相关事实
待验证发布提交带有 GPG 签名，配合 npm provenance 机制可追溯包来源，使用方可验证所安装的包由该仓库 CI 产出。80% 相似待验证npm 包的 provenance 证明基于 Sigstore，可追溯包由哪条 CI 流水线、哪个 commit 构建。77% 相似已验证npm 生态另有 provenance 机制，可将发布产物与其源码仓库、构建流水线绑定并生成可公开核查的证明。75% 相似已验证开发者可通过 npm audit signatures 命令验证包的签名完整性66% 相似待验证下游项目可借助 npm audit、Dependabot 或 Renovate 等工具自动追踪补丁更新66% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/1128187API
curl https://kongchang.com/api/v1/knowledge/claims/1128187MCP
get_claim(id=1128187)