#slsa

为什么 Cosign 签完名后，大多数团队仍然无法验证供应链 provenance？

Cosign 签名只是供应链安全的起点。本文从 Sigstore 信任模型、SLSA 分级、CI/CD 验证断层三个维度分析：为什么大量团队签完名后，验证环节仍然处于空白状态，以及如何从工程上补全这个闭环。