sigstore/cosign

1. 【主题】

为容器与二进制文件提供无密钥的代码签名与透明性验证，解决软件供应链中的信任危机。

2. 【核心分点总结】

1. 无密钥签名：基于 OIDC 身份（如 GitHub 账号）直接签名，彻底告别私钥管理的繁琐与风险。

2. 透明性日志：所有签名记录自动写入不可篡改的 Rekor 日志，让每一次发布都经得起审计与追溯。

3. 容器原生支持：深度集成 OCI 标准，专为容器镜像打造，与 Docker、Kubernetes 生态无缝衔接。

4. 全制品覆盖：不仅限于容器，同样支持二进制文件的签名与验证，守护软件供应链的每一个环节。

3. 【行动指南】

1. 在 CI/CD 流水线中集成 cosign，利用 GitHub OIDC 身份自动为构建产物签名，实现发布即安全。
2. 在 Kubernetes 集群部署准入控制器，强制校验容器镜像的 cosign 签名，阻断未授权镜像运行。
3. 若你正被 GPG 密钥分发和保管所困扰，立即切换到 cosign 的无密钥签名方案，体验零摩擦的安全升级。

4. 【金句总述】

让每一次代码签名都无需密钥，让每一次软件交付都透明可见。

5. 【故事性收尾】

曾经，你为丢失的签名密钥彻夜难眠，为校验镜像来源而手动翻阅日志；如今，只需一条命令，签名与验证在流水线中悄然完成，你终于可以端起咖啡，看着部署状态灯一路绿灯，安心交付。