待验证50% 置信事实精确时间
GitHub 的可信发布（Trusted Publishing）结合 GPG 签名机制可以证明某个 npm 包确实由特定仓库的 CI/CD 流程发布
1
来源数
50%
置信度
长期有效
时效性
2026/10/9
首次发现
来源
涉及实体
相关事实
待验证GitHub 可信签名（Sigstore/GitHub Attestations）通过密码学背书对发布产物来源进行验证，是 npm 供应链安全加固的手段78% 相似已验证Vercel 采用自动化发布流程，由 github-actions 自动触发发布，提交经过 GPG 签名验证65% 相似已验证该发布记录由 GitHub Actions 自动化流程完成，并经过 GitHub 官方验证签名（Verified）65% 相似待验证GitHub Actions 可结合 OIDC（OpenID Connect）令牌机制发布 npm 包，建立从代码提交到制品发布的可信链路64% 相似待验证GPG 签名验证通过后 GitHub 会显示绿色的「Verified」徽章，证明提交来自持有对应私钥的账户64% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/990158API
curl https://kongchang.com/api/v1/knowledge/claims/990158MCP
get_claim(id=990158)