#provenance

Sigstore 與 SLSA：驗證誰用哪個 Build Process 產出這份 Artifact

Sigstore 提供 identity-bound signing、短效憑證與 transparency log；SLSA 定義可信 build provenance 的成熟度。只有在 deploy admission 驗證 identity、issuer、digest 與 build expectations 時才形成防線。