4. 制品类型与签名策略：容器镜像签名、JAR包签名、NPM包签名、Helm Chart签名

在平台工程IDP中，不同制品类型具有不同的打包格式、分发机制和运行时环境，因此需要采用差异化的签名策略。本章系统梳理四种核心制品的签名技术选型、工具链集成与验证链路，确保从构建到部署的完整签名可信链。

4.1 制品签名策略总览

下表从签名对象、标准规范、推荐工具、验证时机四个维度对比四种制品的签名策略差异：

4.2 容器镜像签名

容器镜像是云原生部署的核心载体，其签名必须覆盖镜像清单（Manifest）和所有层摘要，防止中间人篡改或仓库注入恶意层。

4.2.1 签名流程与工具选型

• Cosign (Sigstore)：支持密钥对、密钥less（OIDC）、硬件密钥；签名存储在OCI仓库的tag或referrers API中。
• Notation (Notary v2)：基于X.509证书，适合已有PKI体系的企业；签名作为OCI制品关联存储。
• 验证集成：在Kubernetes中通过Admission Controller（如Kyverno、Ratify）强制验证签名。

# Cosign 密钥对签名示例
cosign sign --key cosign.key registry.example.com/myapp:v1

# Notation 证书签名示例
notation sign --key mykey registry.example.com/myapp:v1

# 验证命令
cosign verify --key cosign.pub registry.example.com/myapp:v1

4.2.2 容器镜像签名链路SVG

下图展示从构建到部署的容器镜像签名与验证链路：

4.3 JAR包签名

JAR包签名基于Java原生jarsigner工具，使用X.509证书对JAR内所有非签名文件生成数字签名，确保类文件、资源配置未被篡改。

4.3.1 签名与验证流程

• 签名命令：jarsigner -keystore mykeystore.jks -storepass <pass> myapp.jar myalias
• 验证命令：jarsigner -verify -verbose -certs myapp.jar
• CI集成：在Maven/Gradle构建后通过插件自动签名，如maven-jarsigner-plugin。
• 安全约束：签名证书有效期建议≤1年，使用独立签名证书而非代码证书。

<!-- Maven POM 配置 jarsigner 插件 -->
<plugin>
  <groupId>org.apache.maven.plugins</groupId>
  <artifactId>maven-jarsigner-plugin</artifactId>
  <version>3.0.0</version>
  <executions>
    <execution>
      <id>sign</id>
      <goals><goal>sign</goal></goals>
    </execution>
  </executions>
  <configuration>
    <keystore>${project.basedir}/signing.keystore</keystore>
    <alias>code-signing</alias>
    <storepass>${env.SIGN_STORE_PASS}</storepass>
  </configuration>
</plugin>

4.4 NPM包签名

NPM生态自2022年起引入包签名机制，基于ECDSA（P-384）曲线，由npm CLI自动完成签名与验证，无需开发者手动操作。

4.4.1 签名机制与集成

• 签名生成：npm pack 时自动计算包内容哈希，使用registry公钥签名。
• 验证方式：npm install 时通过 --audit-level=high 或 npm audit signatures 验证。
• 企业扩展：使用Sigstore的npm集成，通过OIDC身份绑定实现无密钥签名。
• 限制：仅支持npm官方registry；私有registry需自行实现签名验证。

# 查看包签名信息
npm audit signatures

# 使用 Sigstore 签名（需安装 sigstore CLI）
sigstore sign package-1.0.0.tgz

# 验证签名
sigstore verify package-1.0.0.tgz

4.5 Helm Chart签名

Helm Chart签名使用PGP（GnuPG）密钥对，生成.provenance文件与Chart包一同分发，确保Chart内容完整性和发布者身份可信。

4.5.1 签名与验证流程

4.5.2 Helm Chart签名与验证SVG

下图展示Helm Chart从签名到部署验证的完整流程：

4.6 多制品签名策略对比与选型建议

在平台工程IDP中，建议根据制品类型和团队成熟度选择签名策略：

• 容器镜像 + Helm Chart：统一采用Cosign（Sigstore），支持keyless模式，降低密钥管理复杂度。
• JAR包：使用jarsigner + 短期证书，集成Maven/Gradle插件，证书由企业CA签发。
• NPM包：优先使用npm内置签名 + Sigstore扩展，私有registry可考虑自定义签名插件。
• 统一审计：所有签名记录推送至透明日志（Rekor），实现全链路可追溯。