来源证明(Provenance Attestation).

来源证明用密码学证据而非约定俗成的信任来回答"这份工件来自哪里"的问题。标准格式包括 in-toto 证明与 SLSA Provenance v1,记录源代码仓库提交、构建平台、构建配方、原料与时间戳,并由构建者签名。使用方对照策略校验证明,例如可信构建者身份、允许的源仓库、期望的工作流、SLSA 等级等。Sigstore Cosign、GitHub Actions、Tekton Chains、GitLab CI 以及对齐 SLSA 的构建平台,都可以自动生成证明。来源证明是检测被篡改二进制以及满足美国第 14028 号行政令、欧盟《网络韧性法案》等监管要求的关键控制。