4. 签名技术选型：GPG、Sigstore/Cosign、JWT签名对比与适用场景

在CI/CD流水线中，构建产物的签名技术直接决定了完整性验证与来源可信度的根基。当前主流方案包括GPG、Sigstore/Cosign以及JWT签名，三者分别代表了传统PKI、现代无密钥基础设施和令牌化签名的不同路径。本章从技术原理、密钥管理、验证效率、合规阻断能力四个维度进行系统对比，并给出明确的场景选型建议。

4.1 技术原理与密钥管理对比

4.2 签名验证流程与性能特征

三种技术在流水线中的验证流程差异显著，直接影响OPA策略的阻断点设计。

• GPG验证流程：下载产物 → 获取签名文件(.asc) → 导入公钥 → gpg --verify → 输出状态码。验证耗时约50-200ms，公钥缺失时需回退到密钥服务器查询。
• Cosign验证流程：拉取镜像 → cosign verify → 自动查询Rekor日志 → 验证证书链 → 输出Payload。验证耗时约200-500ms，依赖网络与透明日志可用性。
• JWT签名验证流程：解析JWT → 获取kid → 查找公钥 → 验签 → 校验exp/nbf/iss。验证耗时约1-10ms，性能最优，但需要预先缓存公钥。

4.3 适用场景矩阵

4.4 OPA策略中的签名验证集成模式

无论选择哪种签名技术，OPA策略的验证逻辑都应遵循统一的“验证-断言-阻断”模式。以下展示三种技术对应的Rego规则片段。

4.4.1 GPG验证的Rego规则

package artifacts.signature

# 输入：构建产物元数据，包含签名指纹与公钥ID
default allow = false

allow {
    input.signature.type == "gpg"
    input.signature.key_id == "0xABCDEF1234567890"
    input.signature.verification_status == "success"
    # 可选：检查签名时间是否在证书有效期内
    input.signature.timestamp >= input.signature.key_valid_from
    input.signature.timestamp <= input.signature.key_valid_to
}

4.4.2 Cosign验证的Rego规则

package artifacts.signature

# 输入：Cosign验证输出的JSON结果
default allow = false

allow {
    input.signature.type == "cosign"
    input.signature.verified == true
    input.signature.identity.issuer == "https://.actions.githubusercontent.com"
    input.signature.identity.subject == "repo:my-org/my-repo:.github/workflows/release.yml"
    # 强制要求透明日志条目存在
    input.signature.rekor_entry != null
    input.signature.rekor_entry.inclusion_proof == true
}

4.4.3 JWT签名验证的Rego规则

package artifacts.signature

# 输入：JWT解码后的Payload与签名元数据
default allow = false

allow {
    input.signature.type == "jwt"
    input.signature.algorithm == "RS256"
    input.signature.payload.iss == "pipeline-runner@my-corp"
    input.signature.payload.exp >= time.now_ns() / 1000000000
    input.signature.payload.nbf <= time.now_ns() / 1000000000
    # 验证签名公钥指纹是否在白名单中
    input.signature.kid in data.allowed_signing_keys
}

4.5 选型总结与迁移建议