| GitHub | actions/attest-build-provenance 生成证明，gh attestation verify 校验 |
|---|---|
| 校验内容 | 构建仓库、提交、工作流与制品摘要的绑定关系 |
| 用途 | 发布前验证、准入控制、审计取证 |
GitHub Actions
GitHub Actions
permissions:
id-token: write
attestations: write
steps:
- run: sha256sum dist/app.tar.gz
- uses: actions/attest-build-provenance@v2
with:
subject-path: dist/app.tar.gz验证
验证
gh attestation verify dist/app.tar.gz --repo org/repo证明的价值在于「验证」环节：没有校验的证明只是附件。