أمن سلسلة توريد البرمجيات

artifact_binding: exact-reviewed-digest
source: approved-repository-and-revision
builder: approved-isolated-release-workflow
identity: approved-issuer-and-subject
provenance: verified-and-policy-compatible
exception: explicit-owner-and-expiry-only

تهم الشروط جميعا. السجل قائمة مراجعة لا شهادة أو توقيع أو سياسة إنفاذ تنفيذية.

def allowed(evidence):
    return (evidence["signature_valid"]
            and evidence["builder"] == "approved-release"
            and evidence["source_reviewed"])
print(allowed({"signature_valid": True, "builder": "untrusted-job", "source_reviewed": True}))
print(allowed({"signature_valid": True, "builder": "approved-release", "source_reviewed": True}))

False
True

لا يكفي علم توقيع اصطناعي موجب. يفشل الباني غير الموثوق وينجح المطابق، دون توقيع أو حزمة فعلية.