用途：通过 orbit CLI 验证、下载和检查构建来源证明（attestation），支持供应链安全，确认制品来源、签名者身份与构建元数据。证明采用 Sigstore bundle 规范，使用 in-toto 证明格式与 SLSA 来源谓词。
主要能力：verify 校验制品与证明 bundle 是否匹配；download 从 GitHub 仓库按摘要获取证明 bundle；inspect 展示 bundle 内容，包括 SLSA 来源、签名者身份、构建者、来源与材料。命令模式为 orbit attestation <command>，别名 orbit attest。所有命令支持 -o json 和 -o yaml 结构化输出。
使用方式：需先安装 orbit CLI。macOS/Linux（Homebrew）：brew install jorgemuza/tap/orbit；脚本：curl -sSfL https://raw.githubusercontent.com/jorgemuza/orbit/main/install.sh | sh；Windows（Scoop）：scoop bucket add jorgemuza https://github.com/jorgemuza/scoop-bucket && scoop install orbit。验证示例：orbit attestation verify ./my-binary --bundle attestation.jsonl。可加 --owner、--repo、--signer-identity 做身份检查，--source-host 支持自托管 forge。下载示例：orbit attestation download sha256:abc123... --repo owner/repo。检查示例：orbit attestation inspect attestation.jsonl。
适用场景：发布二进制端到端验证、脚本或 CI 中获取 JSON 输出、检查签名者、严格签名者身份校验。
限制：摘要算法支持 sha256（默认）与 sha512，用 --digest-algorithm 指定；download 需要配置 GitHub 访问的 profile（-p <profile>）且 --repo 必填；verify 与 inspect 为本地命令，通常无需 profile 或网络。其余细节暂未提供。