文章

把构建来源当成准入条件：npm 与 GitHub Actions Provenance 的验证边界

从 npm Trusted Publishing、GitHub Artifact Attestations、SLSA Provenance 与 Sigstore 验证链路出发，拆解如何把构建来源从审计材料变成发布和部署准入条件。