| 构建 L1 | 构建全自动、过程可追溯（provenance 记录存在即可） |
|---|---|
| 构建 L2 | 托管构建平台 + 由平台签发的 provenance，防篡改提升 |
| 构建 L3 | 强化平台：构建间隔离、签名密钥不可随意导出 |
落地路径
落地路径
起步：CI 全自动化 + 生成 provenance 文档
进阶：使用托管 CI 的签名证明能力
再进阶：构建环境隔离与最小权限（评估成本收益）SLSA 是渐进目标：先消除「手工构建」与「无来源记录」，收益立竿见影。
SLSA 构建等级（L1-L3）
SLSA v1.0 以轨道与等级描述供应链保障：构建轨道 L1 过程自动化可追溯、L2 托管构建并生成签名证明、L3 强化隔离构建。
易错点
- 把 L3 当合规红线一刀切：按制品风险分级推进更现实
- provenance 生成后无人校验：证明价值依赖于消费端验证
数据来源与参考
- SLSA 规范（slsa.dev）