概念in-toto Attestation Framework / in-toto规范
in-toto
in-toto 是一套开源的软件供应链安全规范与框架，用于描述软件构建流程中的每个步骤及其证明（attestation），确保整个供应链的完整性与可验证性，被 cosign 等工具广泛采用。
时间轴 (近 90 天)
10月8日
cosign 的 Attestation 功能允许将任意结构化元数据（如扫描报告、SBOM、构建日志）以签名形式附加到制品上，格式遵循 in-toto Attestation Framework
待验证50%
10月8日
SLSA 的 Provenance 格式基于 in-toto Attestation 规范构建，两者并非互斥
待验证50%