GPG
基于 OpenPGP 标准的加密工具，用于生成和验证数字签名，确保开源项目中提交和发布产物的真实性与完整性。
核心事实
时间轴 (近 90 天)
GPG 密钥 ID B5690EEEBB952194 是签名者公钥的短标识，可用于在密钥服务器上检索完整公钥、核对签名者身份。
GPG 提交签名只保证提交来源与完整性，并不等同于对代码内容的安全审计。
提交上的 GitHub 验证签名来自 GPG 密钥，其他用户可据此确认提交确实来自该账户且内容未被篡改。
在 npm 生态中，GPG 签名常与 provenance attestation 结合，用来证明包版本由指定的 CI 流水线从特定仓库和提交构建产出，降低依赖被替换或投毒的风险。
GitHub 上的 Verified 徽章来自 GPG 签名校验，校验失败或缺失时标记为 Unverified。
GPG 密钥 ID 通常是公钥指纹的后 16 位十六进制字符。
B5690EEEBB952194是GPG密钥ID的短格式，即密钥指纹的后16位十六进制字符。
签名验证只保证某次提交由某密钥签署，若私钥泄露或账户被入侵则仍可能被冒用，因此它是供应链安全的一环而非全部。
结合 CI 自动发布和 GPG 签名可以实现从代码提交到 npm 发包全链路的来源可追溯，降低依赖投毒风险。
GPG（GNU Privacy Guard）是一种非对称加密工具，开发者可生成一对公钥和私钥；用私钥对Git提交或发布标签签名后，任何人只要持有对应公钥即可验证该提交确实由持有私钥的人创建、且内容未被篡改。
还有 33 条时间轴事件
全部知识事实 (20)
v0.40.5 由 GitHub Actions 自动发布并附有 GPG 验证签名。
90%已验证GPG 签名是基于公钥密码学的数字签名机制，用于软件发布的完整性验证，可防范供应链攻击
90%已验证GPG签名是一种基于非对称加密的数字签名机制，在GitHub的发布流程中，维护者使用私钥对发布产物进行签名，用户可以通过公钥验证签名的有效性
90%已验证Git支持使用GPG对提交和标签进行密码学签名，签名中绑定了提交内容与签名者的私钥。
85%已验证Vercel 采用自动化发布流程，由 github-actions 自动触发发布，提交经过 GPG 签名验证
80%已验证GitHub 会为通过其网页界面或特定集成创建的提交自动附加已验证签名，并在界面显示 'Verified' 徽章。
80%已验证提交上的 GitHub 验证签名来自 GPG 密钥，其他用户可据此确认提交确实来自该账户且内容未被篡改。
75%已验证GPG 签名验证通过后 GitHub 会显示绿色的「Verified」徽章，证明提交来自持有对应私钥的账户
75%已验证GitHub 可信签名（Sigstore/GitHub Attestations）通过密码学背书对发布产物来源进行验证，是 npm 供应链安全加固的手段
75%已验证GPG 签名验证是开源软件发布流程中用于确认产物真实性的标准手段，可有效防范供应链攻击
75%已验证GPG 是基于 OpenPGP 标准的加密工具，开发者通过私钥签名发布产物，用户用公钥验证以确认内容未被篡改
75%已验证Phil Zimmermann 于 1991 年发布了 PGP（Pretty Good Privacy），为电子邮件提供端到端加密能力，后演化为开源的 GPG（GNU Privacy Guard）标准
65%待验证该版本的 commit 记录显示包含 6 个提交，由 github-actions 自动构建并附带 GPG 签名验证。
70%待验证GPG 密钥 ID B5690EEEBB952194 是签名者公钥的短标识，可用于在密钥服务器上检索完整公钥、核对签名者身份。
50%待验证GPG 提交签名只保证提交来源与完整性，并不等同于对代码内容的安全审计。
50%待验证在 npm 生态中，GPG 签名常与 provenance attestation 结合，用来证明包版本由指定的 CI 流水线从特定仓库和提交构建产出，降低依赖被替换或投毒的风险。
50%待验证GitHub 上的 Verified 徽章来自 GPG 签名校验，校验失败或缺失时标记为 Unverified。
50%待验证GPG 密钥 ID 通常是公钥指纹的后 16 位十六进制字符。
50%待验证签名验证只保证某次提交由某密钥签署，若私钥泄露或账户被入侵则仍可能被冒用，因此它是供应链安全的一环而非全部。
50%待验证B5690EEEBB952194是GPG密钥ID的短格式，即密钥指纹的后16位十六进制字符。
50%