概念GPG signature
GPG 签名
一种基于公钥密码学的软件制品签名验证机制，发布者用私钥签名，使用者用公钥验证来源可信性与内容完整性，用于防范供应链攻击
核心事实
时间轴 (近 90 天)
10月28日
GPG 签名验证是开源供应链安全的重要环节，使用者可通过 git verify-commit 或 GitHub 界面上的 Verified 标识确认来源真实性。
待验证50%
10月21日
签名只证明提交由谁产生，并不证明代码安全，仍需配合锁定文件校验与依赖审计。
待验证50%
10月8日
对于 CI 机器人账号如 github-actions[bot]，GitHub 使用自身托管的 GPG 密钥对自动生成的提交进行签名
已验证75%