4. 签名链路架构总览：从代码提交到制品仓库的完整签名链路

制品签名链路是 IDP（Internal Developer Platform）中保障软件供应链安全的核心基础设施。本章从端到端视角，完整呈现一次代码提交如何触发签名操作，并最终在制品仓库中生成可验证的签名制品。理解各组件交互关系，是后续设计自动化测试用例的基础。

4.1 链路全景与核心阶段

完整签名链路可划分为四个阶段：触发与构建 → 签名凭证获取 → 签名执行 → 验证与存储。每个阶段涉及不同的系统组件和协议交互。

4.2 组件交互关系与数据流

下图展示了从代码提交到制品入库的完整交互序列，包含 7 个核心节点和 6 条主要数据流。

4.3 各组件职责与接口契约

下表详细列出每个组件的核心职责、对外接口协议以及自动化测试需要覆盖的关键属性。

4.4 签名链路中的安全边界

签名链路的安全性依赖于明确的信任边界划分。以下列出三个关键安全边界及其在自动化测试中的验证方法。

• 边界一：CI/CD 与 KMS 之间 — CI/CD 引擎不能直接访问签名私钥，只能通过短期授权令牌间接调用签名服务。测试需验证令牌有效期、权限范围、以及令牌泄露后的撤销机制。
• 边界二：签名代理与制品之间 — 签名代理只接收制品的哈希摘要，不接触原始制品内容。测试需验证摘要计算过程是否被篡改，以及摘要与制品的绑定关系。
• 边界三：验证网关与制品仓库之间 — 验证网关在存储前必须完成签名验证，拒绝未签名或签名无效的制品。测试需构造无效签名、过期证书、篡改元数据等场景。

4.5 链路时序与异步交互

签名链路并非完全同步。以下时序图展示关键异步交互点，这些点也是自动化测试中需要特别关注的并发与超时场景。

4.6 自动化测试的链路覆盖策略

基于上述架构分析，自动化测试应从以下三个维度覆盖完整签名链路：

1. 正向链路验证：从代码提交到制品入库，验证每一步签名元数据正确生成、存储、可追溯。使用已知摘要的测试制品，断言签名结果与预期一致。
2. 异常链路注入：模拟 KMS 不可用、签名代理超时、验证网关证书过期、制品仓库写入失败等故障。验证流水线是否优雅降级或正确报错。
3. 安全边界穿透测试：尝试绕过签名代理直接向验证网关提交未签名制品、使用过期令牌调用签名服务、篡改制品摘要后重新签名。验证安全边界是否被突破。