哈希校验
通过计算并比对内容哈希值来验证文件或依赖内容完整性的机制，与仅锁定版本号的锁文件不同，能检出内容被替换的情况。
时间轴 (近 90 天)
文件完整性校验通常通过比对MD5、SHA-1或SHA-256等哈希值来确认下载文件与官方发布一致。
传统软件工程中，锁文件固定依赖解析结果（装哪个版本），而哈希校验固定内容（内容是什么），两者不同。
供应链投毒的常见缓解手段包括对导入制品做哈希与签名校验、在隔离区内维护私有镜像仓库、对第三方依赖做源码级审计、对数据集做来源溯源。
AILegal系统每三天运行一次计划任务，抓取每个官方来源，要求摘要中的数字和术语出现在抓取文本中，并存储所核查版本的哈希；若哈希变化则标记该规范待人工复核。
测量不可变性原则要求评审所用的命令、配置、测试用例在修复轮次之间保持冻结，只有被测代码变化；工程上可通过哈希校验评审脚本、将测试套件纳入只读挂载等方式强制约束。
哈希校验只能验证两个二进制是否一致,无法验证二进制本身是否可信
哈希校验无法验证二进制本身是否可信，当所有人从同一被污染源头出发时会算出一致的哈希值
全部知识事实 (7)
文件完整性校验通常通过比对MD5、SHA-1或SHA-256等哈希值来确认下载文件与官方发布一致。
50%待验证传统软件工程中，锁文件固定依赖解析结果（装哪个版本），而哈希校验固定内容（内容是什么），两者不同。
50%待验证供应链投毒的常见缓解手段包括对导入制品做哈希与签名校验、在隔离区内维护私有镜像仓库、对第三方依赖做源码级审计、对数据集做来源溯源。
50%待验证AILegal系统每三天运行一次计划任务，抓取每个官方来源，要求摘要中的数字和术语出现在抓取文本中，并存储所核查版本的哈希；若哈希变化则标记该规范待人工复核。
50%待验证测量不可变性原则要求评审所用的命令、配置、测试用例在修复轮次之间保持冻结，只有被测代码变化；工程上可通过哈希校验评审脚本、将测试套件纳入只读挂载等方式强制约束。
50%待验证哈希校验只能验证两个二进制是否一致,无法验证二进制本身是否可信
50%待验证哈希校验无法验证二进制本身是否可信，当所有人从同一被污染源头出发时会算出一致的哈希值
50%