SLSA 构建等级是什么
SLSA 用「轨道+等级」描述供应链保障程度：v1.0 的构建轨道分 L1 至 L3，从全自动可追溯、到托管构建签发 provenance、再到构建环境强化隔离。等级是渐进目标而不是一次性认证——先消掉手工构建与无来源记录，收益最明显。落地时把等级翻译成检查项：自动化覆盖率、证明是否签名、构建密钥能否导出。
基本信息
| 构建 L1 | 构建全自动、过程可追溯（provenance 记录存在即可） |
|---|---|
| 构建 L2 | 托管构建平台 + 由平台签发的 provenance，防篡改提升 |
| 构建 L3 | 强化平台：构建间隔离、签名密钥不可随意导出 |
| 核心概念 | provenance（构建来源证明记录） |
| 消费端 | 部署或安装前验证 provenance，证明才有价值 |
典型使用场景
- 开源项目提升信任：发布附 provenance 供下游验证
- 企业合规：按风险分级制定各制品的等级目标
- 高危制品先行：核心服务与基础镜像先做隔离构建
- 消费端校验：部署平台在准入时验证来源
- 渐进改造：先自动化、再托管平台、最后隔离强化
- 上线检查单：把 provenance 验证列进发布评审，和测试报告同级
落地路径
落地路径
起步：CI 全自动化 + 生成 provenance 文档
进阶：使用托管 CI 的签名证明能力
再进阶：构建环境隔离与最小权限（评估成本收益）
# 评估顺序：先查手工构建与长期固定凭据，再谈平台强化等级与关键变化
| 等级 | 关键要求 | 典型形态 |
|---|---|---|
| L1 | 自动化+可追溯 | 脚本化构建并留存记录 |
| L2 | 平台签发证明 | 托管 CI 带签名的 provenance |
| L3 | 构建隔离 | 环境强隔离、密钥不可导出 |
SLSA 是渐进目标：先消除「手工构建」与「无来源记录」，收益立竿见影。
术语先对齐：v1.0 用构建轨道分 L1-L3，与 v0.1 的分层说法不同，对外文档写明版本。