Modelstamp 选择 HMAC 而非公钥签名，是在轻量与安全强度之间的权衡，适合单一团队内部完整性验证但不适合跨组织信任传递