待验证50% 置信事实精确时间
GitHub 可信签名（Sigstore/GitHub Attestations）通过密码学背书对发布产物来源进行验证，是 npm 供应链安全加固的手段
1
来源数
50%
置信度
长期有效
时效性
2026/9/22
首次发现
来源
涉及实体
相关事实
待验证开源代码公开托管在 GitHub 上使得第三方可以审计并验证代码行为是否与宣传一致78% 相似待验证Hansel 的分类标签中包含 GitHub，暗示其可能采用开源或部分开源方式发布，符合安全领域'Don't trust, verify'原则75% 相似待验证@ai-sdk/[email protected] 由 GitHub Actions 自动构建并通过 GitHub 的 verified signature 签名74% 相似已验证GitHub等平台已内置了Secret Scanning功能，能自动检测代码中意外提交的API Key并发出警告74% 相似待验证GitHub Secret Scanning对已泄露到公开Gist、Stack Overflow帖子或历史commit中的密钥无能为力73% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/941836API
curl https://kongchang.com/api/v1/knowledge/claims/941836MCP
get_claim(id=941836)