| 命令 | cosign sign / cosign verify（可绑定签发者身份与 OIDC 发行方约束） |
|---|---|
| keyless | Fulcio 签发短时证书 + Rekor 透明日志，签名记录可公开审计 |
| 扩展 | cosign attach sbom / attest 附加物料与证明 |
keyless 签名与校验
keyless 签名与校验
cosign sign registry.example.com/app@sha256:<digest>
cosign verify registry.example.com/app@sha256:<digest> \
--certificate-identity-regexp '^https://github.com/org/repo/' \
--certificate-oidc-issuer https://token.actions.githubusercontent.com校验要绑定签发者身份与发行方：只验证「有签名」会被任意密钥蒙混。