3. 制品签名链路概念：从代码提交到制品部署的完整签名链路定义
制品签名链路是指从开发人员提交代码开始，到最终制品被部署至生产环境为止，整个过程中所有涉及数字签名生成、验证、传递与存储的完整链条。在平台工程 IDP 中，这条链路是保障软件供应链安全的核心骨架，任何环节的签名缺失或权限失控都可能导致不可信制品流入生产。
3.1 签名链路的核心阶段
一条完整的制品签名链路通常包含以下 6 个关键阶段，每个阶段都对应特定的签名操作与验证点：
| 阶段 | 签名主体 | 签名对象 | 验证时机 |
|---|---|---|---|
| ① 代码提交 | 开发者 GPG 密钥 | Git commit / tag | 代码入库时 |
| ② 构建触发 | CI 系统服务密钥 | 构建事件 / Pipeline 定义 | Pipeline 启动前 |
| ③ 制品产出 | 构建节点签名密钥 | 二进制 / 容器镜像 / 包 | 制品入库前 |
| ④ 制品存储 | 制品仓库签名密钥 | 制品元数据 + 摘要 | 存储持久化时 |
| ⑤ 部署审批 | 审批人 / 自动化策略 | 部署工单 / Release 对象 | 部署执行前 |
| ⑥ 运行时验证 | 运行时准入控制器 | 部署后的制品签名链 | 容器 / 进程启动时 |
关键认知：签名链路不是单点签名，而是链式叠加。每个阶段产生的签名都依赖于上一阶段签名的完整性，形成一条可追溯的信任链。
3.2 签名链路的结构化定义
从数据模型角度，一条制品签名链路可定义为以下元组：
SignatureChain = {
chain_id: string, // 链路唯一标识（通常为制品摘要哈希）
artifacts: [{
digest: string, // 制品内容哈希
signature: string, // 当前阶段签名值
signer_identity: string, // 签名者身份（密钥 ID / 服务账号）
timestamp: int64, // 签名时间戳
parent_signature: string, // 上一阶段签名引用
metadata: { // 扩展元数据
pipeline_id: string,
repo_url: string,
commit_sha: string
}
}],
root_of_trust: string, // 信任根（根证书 / 公钥指纹）
chain_status: string // 链路状态（完整 / 断裂 / 待验证）
}该模型确保每个制品都携带完整的签名历史，任何中间环节的篡改都会导致 parent_signature 校验失败，从而阻断部署。
3.3 签名链路全景图
下图展示了从代码提交到制品部署的完整签名链路，包含 6 个核心节点及其签名传递关系：
3.4 签名链路的权限变更风险点
在 IDP 中，签名链路的每个节点都涉及密钥管理和权限控制。以下是常见的权限变更风险点：
- 密钥轮换未同步：开发者或 CI 系统的签名密钥轮换后，旧签名未重新生成，导致链路断裂。
- 跨环境密钥泄露：开发环境的签名密钥被用于生产环境签名，破坏环境隔离。
- 审批绕过：部署审批阶段的签名权限被过度授权，导致未经验证的制品直接部署。
- 信任根变更：根证书更新时未同步至所有验证节点，造成签名链整体失效。
- 历史签名失效：制品仓库迁移或重建后，历史签名元数据丢失，链路追溯中断。
⚠️ 风险提示：签名链路中任意一个节点的签名权限发生未审计的变更，都会导致整条链的信任度降级。平台工程团队必须将签名链路权限变更纳入模板策略评审的强制检查项。
3.5 签名链路与 IDP 模板策略的映射
在平台工程 IDP 中，制品签名链路需要通过模板策略进行固化。下表展示了签名链路各阶段与模板策略的对应关系：
| 签名链路阶段 | 模板策略类型 | 策略示例 |
|---|---|---|
| 代码提交 | Git 策略模板 | 强制 GPG 签名、禁止未签名 commit 合入主分支 |
| 构建触发 | CI 策略模板 | Pipeline 定义必须包含签名步骤、密钥来源限定 |
| 制品产出 | 构建策略模板 | 制品必须附带签名文件、签名算法版本锁定 |
| 制品存储 | 仓库策略模板 | 制品入库前校验签名、拒绝无签名制品 |
| 部署审批 | 审批策略模板 | 部署工单必须包含完整签名链引用、多签审批 |
| 运行时验证 | 运行时策略模板 | 准入控制器强制校验签名链、失败则拒绝启动 |
最佳实践：建议将签名链路定义作为 IDP 的全局基础策略，所有项目模板默认继承该策略，避免每个团队自行定义导致链路断裂。
3.6 签名链路完整性验证流程
为确保签名链路在部署前保持完整，平台应实施以下验证流程：
- 逆向回溯校验：从运行时制品开始，逐级向上验证每个阶段的签名哈希是否匹配。
- 信任根校验：确认链中所有签名密钥均由预置的信任根签发，无自签名或未知密钥。
- 时间戳一致性：校验每个签名的时间戳是否在合理范围内，防止重放攻击。
- 元数据完整性：验证制品元数据（如 Pipeline ID、commit SHA）是否与签名内容一致。
- 策略合规检查：将验证结果与模板策略中的签名要求进行比对，输出合规报告。
通过上述定义，平台工程团队可以清晰识别制品签名链路中的权限变更风险，并为后续的模板策略评审提供精确的审计范围。