用途：为构建产物建立密码学签名与验证，防止供应链篡改，满足合规对产物真实性与未修改性的证明要求，并支持零信任部署管线拒绝未签名产物。
主要能力：使用 GPG 生成与管理签名密钥并做分离签名；使用 Sigstore（cosign）进行无密钥签名，结合 Fulcio 短期证书与 Rekor 透明日志；支持 npm 包带 provenance 发布；在部署管线中验证签名与校验和。
必要用法：生成 GPG 密钥用 gpg --full-generate-key；签名用 gpg --detach-sign --armor；无密钥签名用 cosign sign-blob 并输出 .sig 与 .cert；验证用 gpg --verify 或 cosign verify-blob，并配合 sha256sum --check；npm 发布用 npm publish --provenance。
适用场景：开源项目发布签名、CI/CD 构建签名、合规审计、SLSA 2+ 溯源要求。
限制：签名只保证完整性与身份，不提供加密；容器镜像签名应使用 cosign；源码认证应使用提交签名。长期密钥存于 CI 密钥库存在供应链风险，密钥泄露需吊销并重签。具体收费、平台支持与效果资料未提供。