待验证50% 置信解决方案精确时间

签名验证结合 npm provenance 等机制可防范同名发布包伪造的供应链攻击

1

来源数

50%

置信度

长期有效

时效性

2026/9/28

首次发现

来源

Vercel AI SDK 发布 @ai-sdk/workflow@2.0.50 补丁更新

涉及实体

npm provenanceconcept GPGconcept

相关事实

待验证npm provenance 是基于 Sigstore 项目构建的供应链安全机制，通过 OIDC 验证发布者身份并将签名记录到透明日志 Rekor79% 相似待验证可验证秘密共享（VSS）允许各节点验证自身所持碎片的正确性，以抵御拜占庭式恶意行为72% 相似待验证部分恶意安装包会伪装成有数字签名的合法程序以规避杀毒软件检测68% 相似待验证OAuth 2.1强制要求使用PKCE（Proof Key for Code Exchange）来防止授权码拦截攻击67% 相似

引用此条事实

Stable URI

https://kongchang.com/claim/957177

API

curl https://kongchang.com/api/v1/knowledge/claims/957177

MCP

get_claim(id=957177)