已验证75% 置信事实精确时间
GitHub 可信签名（Sigstore/GitHub Attestations）通过密码学背书对发布产物来源进行验证，是 npm 供应链安全加固的手段
3
来源数
75%
置信度
长期有效
时效性
2026/9/22
首次发现
来源
涉及实体
相关事实
待验证GitHub 验证签名（attestation）允许用户通过 gh attestation verify 等命令验证某个 npm 包确实由指定的仓库和提交构建而来。79% 相似待验证GitHub 的可信发布（Trusted Publishing）结合 GPG 签名机制可以证明某个 npm 包确实由特定仓库的 CI/CD 流程发布78% 相似待验证开源代码公开托管在 GitHub 上使得第三方可以审计并验证代码行为是否与宣传一致78% 相似待验证Hansel 的分类标签中包含 GitHub，暗示其可能采用开源或部分开源方式发布，符合安全领域'Don't trust, verify'原则75% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/941836API
curl https://kongchang.com/api/v1/knowledge/claims/941836MCP
get_claim(id=941836)